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Beschreibung 

Verfahren und Anordnung zum rechnergestiitzten Austausch kryp- 
tographischer Schliissel zwischen einer ersten Computereinheit 
5 und einer zweiten Computereinheit 

Die Erfindung betrifft den rechnergestiitzten Austausch kryp- 
tographischer Schliissel zwischen einer ersten Computereinheit 
und einer zweiten Computereinheit. 

10 

Inf ormationstechnische Systeme unterliegen verschiedenen Be- 

drohungen. So kann z.B. libertragene Information von einem un- 
m befugten Dritten abgehort und verandert werden. Eine weitere 

Bedrohung bei der Kommunikation zweier Kommunikationspartner 
15 liegt in der Vorspiegelung einer falschen Identitat eines 

Kommunikationspartners . 

Diesen und weiteren Bedrohungen wird durch verschiedene Si- 
cherheitsmechanismen, die das inf ormationstechnische System 
20 vor den Bedrohungen schiitzen sollen, begegnet. Ein zur Siche- 
rung verwendeter Sicherhei tsmechanismus ist die Verschliisse- 
lung der iibertragenen Daten. Damit die Daten in einer Kommu- 
nikationsbeziehung zwischen zwei Kommunikationspartnern ver- 
schliisselt werden konnen, mtissen vor der Obertragung der ei- 
25 gentlichen Daten zuerst Schritte durchgefuhrt werden, die die 
f Verschliisselung vorbereiten. Die Schritte konnen z.B. darin 

bestehen, dali sich die beiden Kommunikationspartner auf einen 
Verschliisselungsalgorithmus einigen und daB ggf. die gemein- 
samen geheimen Schliissel vereinbart werden. 

30 

Besondere Bedeutung gewinnt der Sicherheitsmechanismus der 
Verschliisselung bei Mobil funksystemen, da die ubertragenen 
Daten in diesen Systemen von jedem Dritten ohne besonderen 
zusatzlichen Auf wand abgehort werden konnen. 

35 

Dies fiihrt zu der Anforderung, eine Auswahl bekannter Sicher- 
heitsmechanismen so zu treffen und diese Sicherheitsmechanis- 
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men geeignet zu kombinieren, sowie Kommunikationsprotokolle 
zu spez'if i"zieren, daJi" durch~s^ie~die^ Sicherlieit' von inf ormati- 
onstechnischen Systemen gewahrleistet wird. 

Es sind verschiedene asymmetrische Verfahren zuin rechnerge- 
sttitzen Austausch kryptographischer Schliissel bekannt. 

Asymmetrische Verfahren, die geeignet sind filr Mobilfunksy- 
steme, sind in [1], [2], [3] und [4] beschrieben. 



Das in [1] beschriebene Verfahren bezieht sich ausdriicklich 
auf lokale Netzwerke und stellt hohere Rechenleistungsanf or- 
derungen an eine Computereinheit eines Kommunikationspartner 
wahrend des Schlusselaustauschs . AuBerdem wird in dem Verfah- 
15 ren mehr Obertragungskapazitat benotigt als bei dem erfin- 
dungsgemaBen Verfahren, da die Lange der Nachrichten groBer 
ist als bei der Erfindung. 

Das in [2] beschriebene Verfahren hat einige grundlegende Si- 

20 cherheitsziele nicht realisiert. Die explizite Authentif ika- 
tion des Netzes durch den Benutzer wird nicht erreicht. Au- 
Berdem wird ein vom Benutzer an das Netz iibertragener Schliis- 
sel vom Netz nicht an den Benutzer bestatigt. Auch eine Zusi- 
cherung der Frische (Aktualitat) des Schlussels fiir das Netz 

25 ist nicht vorgesehen, Ein weiterer Nachteil dieses Verfahrens 
besteht in der Beschrankung auf das Rabin-Verf ahren bei der 
impliziten Authentif izierung des Schlussels durch den Benut- 
zer, Dies schrankt das Verfahren in einer flexibleren Anwend- 
barkeit ein. Auiierdem ist kein Sicherheitsmechanismus vorge- 

30 sehen, der die Nichtabstreitbarkeit von libertragenen Daten 
gewahrleistet. Dies ist ein erheblicher Nachteil vor allem 
auch bei der Erstellung unanf echtbarer Gebuhrenabrechnungen 
flir ein Mobilf unksystem. Auch die Beschrankung des Verfahrens 
auf den National Institute of Standards in Technology Signa- 

35 ture Standard (NIST DSS) als verwendete Signaturf unktion 

schrankt das Verfahren in seiner allgemeinen Verwendbarkeit 
ein. 
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Das in- [3i--beschrrebene"Verfa.hr ein grundlegendes Si- 

cherheitsziel nicht realisiert: Die explizite Authentif ikati- 
on des Benutzers durch das Netz wird nicht erreicht. 

5 

Das in [4] beschriebene Verfahren basiert auf der Annahme der 
Existenz von gemeinsamen geheimen Schliisseln sowohl zwischen 
Benutzer und besuchtem Netz als auch zwischen Benutzer und 
Heimatnetz vor Beginn eines Protokollauf s . Diese Annahme ist 
10 fur viele Einsatzfalle zu einschrankend. 

Ferner ist ein Verfahren zum sicheren Datenaustausch zwischen 
vielen Teilnehmern unter Mitwirkung einer Zertif izierungsin- 
stanz aus [5] bekannt. Das bei diesem Verfahren verwendete 
15 Protokoll weist eine Zufallszahl, eine Identitatsangabe sowie 
einen offentlichen Schlussel und einen Sitzungsschliissel auf. 
Grundlegende Sicherheitsziele werden jedoch bei diesem Ver- 
fahren nicht realisiert. 

20 Weiterhin ist ein Verfahren fiir eine PC-PC-Kommunikation un- 
ter Mitwirkung eines Trust-Centers aus [6] bekannt. 

Aus [7] ist ein Verfahren bekannt, bei dem unter Verwendung 
sowohl eines offentlichen als auch eines geheimen Schlussels 
25 sowie unter Verwendung einer Zufallszahl ein Sitzungsschliis- 
sel erzeugt wird- Dieser wird mit einem offentlichen Schlus- 
sel verknupf t . 

Weiterhin ist in [8] ein Verfahren beschrieben, bei dem eine 
30 Benutzereinheit sich gegenuber einer Netzeinheit identifi- 
ziert. AnschlieBend findet unter Anwendung einer Hash- 
Funktion zwischen der Benutzereinheit und der Netzeinheit ein 
Authentif izierungsprozeii statt . 

35 Weitere sichere Kommunikationsprotokolle, die aber wesentli- 
che grundlegende Sicherheitsziele nicht realisieren, sind aus 
[9] bekannt . 
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Aus "[~l-0-] — rs t~e"s— bekanntT — dafi"~i'n— erne r~e r s t en"~Compu t e r e inhe it 
aus einer ersten Zufallszahl mit Hilfe eines erzeugenden Ele- 
ments einer endlichen Gruppe ein erster Wert gebildet wird, 
5 der zu einer zu einer zweiten Computereinheit iibertragen 

wird. In der zweiten Computereinheit wird ein Sitzungsschliis- 
sel gebildet durch Hash-Wert-Bildung des ersten Werts, der 
mit einem geheimen Netzschlussel exponiert wird. In der er- 
sten Computereinheit wird ebenfalls der Sitzungsschlussel ge- 

10 bildet, dort jedoch durch Hash-Wert-Bildung eines offentli- 

chen Netzschliissels, der mit der ersten Zufallszahl exponiert 
wird. Ferner wird dort ein Hash-Wert liber den Sitzungsschlus- 
sel gebildet und der Hash-Wert wird digital signiert. Der 
sich ergebende Signatuterm wird zu der zweiten Computerein- 

15 heit iibertragen und dort verifiziert. 

Das in [11] beschriebene Verfahren erreicht die wesentlichen 
Sicherheitsziele, jedoch mit einem hoheren Aufwand an Rechen- 
leistung und Ubertragungskapazitat . 

20 

Asymmetrische Verfahren beruhen im wesentlichen auf zwei Pro- 
blemen der Komplexitatstheorie, dem Problem zusammengesetzte 
Zahlen effizient zu f aktorisieren, und dem diskreten Log- 
arithmusproblem (DLP) . Das DLP besteht darin, daJi in geeigne- 
25 ten Rechenstrukturen zwar Exponentiationen effizient durchge- 
fuhrt werden konnen, daii jedoch ftir die Umkehrung dieser Ope- 
ration, das Logarithmieren, keine effizienten Algorithmen be- 
kannt sind. 





30 Solche Rechenstrukturen sind z.B. unter den oben bezeichneten 
endlichen Gruppen zu verstehen. Diese sind z.B. die mul- 
tiplikative Gruppe eines endlichen Korpers (z.B. Multiplizie- 
ren Modulo p, wobei p eine groJie Primzahl ist) , oder auch so- 
genannte "elliptische Kurven" . Elliptische Kurven sind vor 

35 allem deshalb interessant, well sie bei gleichem Sicher- 

heitsniveau wesentliche kurzere Sicherheitsparameter erlau- 
ben. Dies betrifft die Lange der offentlichen Schlussel, die 
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Lange der Zertifikate, die Lange der bei der Sitzungsschllis- 
selverexnbarung- auszutauschenden--Nachrrchten-'Sowre die Lange 

von digitalen Signaturen, die jeweils im weiteren beschrieben 

werden. Der Grund dafur ist, dafi die fiir elliptische Kurven 
5 bekannten Logarithmierverf ahren wesentlich weniger effizient 

sind als die fur endliche Korper. 



Eine grofie Primzahl in diesem Zusaininenhang bedeutet, daB die 
Grofie der Primzahl so gewahlt werden muB, daB die Logarith- 
10 mierung so aufwendig ist, daB sie nicht in vertretbarer Zeit 
durchgefiihrt werden kann. Vertretbar bedeutet in diesem Zu- 
sammenhang einen Zeitraiam entsprechend der Sicherheitspolitik 
von mehreren Jahren bis Jahrzehnten und langer. 

15 Unter einer Hash-Funktion ist in diesem Zusammenhang eine 

Funktion zu verstehen, bei der es nicht moglich ist, zu einem 
gegebenen Funktionswert einen passenden Eingangswert zu be- 
rechnen. Ferner wird einer beliebig langen Eingangszeichen- 
folge eine Ausgangszeichenf olge fester Lange zugeordnet, Des 

20 weiteren konnen fiir die Hash-Funktion zusatzliche Eigen- 
schaften gefordert werden. Eine solche zusatzliche Eigen- 
schaft ist Kollisionsf reiheit/ d.h, es darf nicht moglich 
sein, zwei verschiedene Eingangszeichenf olgen zu finden, die 
dieselbe Ausgangszeichenf olge ergeben. 

..2 5 

Der Erfindung liegt das Problem zugrunde, ein vereinf achtes 
Verfahren zum rechnergestutzten Austausch kryptographischer 
Schliissel anzugeben, das nicht die Existenz gemeinsamer ge- 
heimer Schliissel voraussetzt- 

Dieses Problem wird durch das Verfahren gemaB Patentanspruch 
1 sowie durch die Anordnung gemaB Patentanspruch 2 9 gelost. 

Bei dem Verfahren wird aus einer ersten Zufallszahl mit Hilfe 
35 eines erzeugenden Elements einer endlichen Gruppe in der er- 
sten Computereinheit ein erster Wert gebildet. Eine erste 
Nachricht wird von der ersten Computereinheit an die zweite 
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Computereinheit ubertragen, wobei die ersten Nachricht minde- 
s t e n s~de n--e r s t e n— W e r t—a u f we i s t^r~rn"de r~'Z we i- te^^ 
heit wird ein Sitzungsschliissel mit Hilfe einer ersten Hash- 
Funktion gebildet wird, wobei eine erste EingangsgroBe der 
5 ersten Hash-Funktion mindestens einen ersten Term aufweist, 
der gebildet wird durch eine Exponentiation des ersten Werts 
mit einem geheimen Netzschlussel . In der ersten Computerein- 
heit wird der Sit zungsschlussel gebildet mit Hilfe der ersten 
Hash-Funktion, wobei eine zweite EingangsgroBe der ersten 

10 Hash-Funktion mindestens einen zweiten Term aufweist, der ge- 
bildet wird durch eine Exponentiation eines offentlichen ^ 
Netzschlussels mit der ersten Zufallszahl* In der ersten Com- 
putereinheit wird mit Hilfe einer zweiten Hash-Funktion oder 
der ersten Hash-Funktion eine vierte EingangsgroBe gebildet, 

15 wobei eine dritte EingangsgroBe fiir die erste Hash-Funktion 
Oder fur die zweite Hash-Funktion zur Bildung der vierten 
EingangsgroBe eine oder weitere GroBen aufweist, aus denen 
auf den Sitzungsschliissel eindeutig riickgeschlossen werden 
kann. In der ersten Computereinheit wird ein Signaturterm aus 

20 mindestens der vierten EingangsgroBe gebildet wird unter An- 
wendung einer ersten Signaturf unktion . Eine dritte Nachricht 
wird von der ersten Computereinheit an die zweite Compu- 
tereinheit ubertragen, wobei die dritte Nachricht mindestens 
den Signaturterm der ersten Computereinheit aufweist. In der 

25 zweiten Computereinheit wird der Signaturterm verifiziert. 

Bei der Anordnung sind die erste Computereinheit und die 
zweite Computereinheit derart eingerichtet sind, daB folgende 
Verf ahrensschritte durchfuhrbar sind: 
30 - aus einer ersten Zufallszahl wird mit Hilfe eines erzeugen- 
den Elements einer endlichen Gruppe in der ersten Compu- 
tereinheit ein erster Wert gebildet, 

- eine erste Nachricht wird von der ersten Computereinheit an 
die zweite Computereinheit ubertragen, wobei die erste 

35 Nachricht mindestens den ersten Wert aufweist, 

- in der zweiten Computereinheit wird ein Sitzungsschliissel 
mit Hilfe einer ersten Hash-Funktion gebildet, wobei eine 
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erste Eingangsgrofie der ersten Hash-Funktion mindestens ei- 
nen e"r"steir"Term--aufwe-i~st7 — der gebx-ldet"wird"durch eine Ex- 
ponentiation des ersten Werts itiit einem geheimen Netz- 
schltissel, 

- in der ersten Computereinheit wird der Sitzungsschlussel 
gebildet mit Hilfe der ersten Hash-Funktion, wobei eine 
zweite Eingangsgrofie der ersten Hash-Funktion mindestens 
einen zweiten Term aufweist, der gebildet wird durch eine 
Exponentiation eines offentlichen Net zschlussels mit der 
ersten Zufallszahl, 

- in der ersten Computereinheit wird mit Hilfe einer zweiten 
Hash-Funktion oder der ersten Hash-Funktion eine vierte 
Eingangsgrofie gebildet wird, wobei eine dritte Eingangsgro- 
fie fiir die erste Hash-Funktion oder ftir die zweite Hash- 
Funktion zur Bildung der vierten Eingangsgrofie eine oder 
weitere Grofien aufweist, aus denen auf den Sitzungsschlus- 
sel eindeutig rtickgeschlossen werden kann. 

- in der ersten Computereinheit wird ein Signaturterm aus 
mindestens der vierten Eingangsgrofie gebildet unter Anwen- 
dung einer ersten Signatur f unktion, 

- eine dritte Nachricht wird von der ersten Computereinheit 
an die zweite Computereinheit ubertragen, wobei die dritte 
Nachricht mindestens den Signaturterm der ersten Compu- 
tereinheit aufweist, und 

- in der zweiten Computereinheit wird der Signaturterm veri- 
fiziert. 

Die durch die Erfindung erreichten Vorteile liegen vor allem 
in einer erheblichen Reduktion der Lange der ubertragenen 
Nachrichten und in der Realisierung weiterer Sicherheitszie- 
le. 

Die Erfindung ist aufierdem sehr leicht an unterschiedliche 
Anforderungen anpafibar, da es sich nicht auf bestimmte Algo- 
rithmen fur Signaturbildung und Verschliisselung beschrankt. 
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Vorteilhafte Weiterbildungen der Erfindung ergeben sich aus 
— — d'en'~a"bh-anigrg'en~Anspru'ch^ 

In einer Weiterbildung ist es vorgesehen, einen langlebigen 
5 geheimen Net zschlussel und einen langlebigen offentlichen 
Netzschltissel einzusetzen . 

Unter einem langlebigen Schlussel ist iiti weiteren ein Schliis- 
sel zu verstehen, der fur mehrere Protokollauf e eingesetzt 
10 wird. 

Durch die Erfindung und ihre Weiterbildungen werden folgende 
Sicherheitsziele realisiert: t 

- Gegenseitige explizite Authentif izierung von dera Benutzer 
15 und dem Netz, d.h. die gegenseitige Verif izierung der be- 

haupteten Identitat, 

- Schltisselvereinbarung zwischen dem Benutzer und dem Netz 
mit gegenseitiger impliziter Authentif izierung, d.h., dal3 
durch das Verfahren erreicht wird, daB nach AbschluB der 

20 Prozedur ein gemeinsamer geheimer Sitzungsschlussel zur 

Verfugung steht, von dem jede Partei weiJ5, daib nur das au- 
thentische Gegenuber sich ebenfalls im Besitz des geheimen 
Sitzungsschlussels befinden kann, 

- Zusicherung der Frische (Aktualitat) des Sitzungsschlussels 
25 fur den Benutzer, . 

- gegenseitige Bestatigung des Sitzungsschlussels von dem Be~{ 
nutzer und dem Netz, d.h. die Bestatigung, daft das Gegen- 
uber tatsachlich im Besitz des vereinbarten geheimen Sit- 
zungsschlussels ist . 

30 

Auf diese Sicherheitsziele beziehen sich auch die folgenden 
vorteilhaf ten Weiterbildungen des Verfahrens. 

In einer Weiterbildung wird zusatzllch in der ersten Compu- 
35 tereinheit ein vertrauenswiirdiger offentlicher Benutzer- 

schlussel der ersten Computereinheit z.B. in Form eines Be- 
nutzerzertif ikats verfiigbar gemacht und in der zweiten Compu- 
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tereinheit wird ein vertrauenswiirdiger offentlicher Netz- 
"s chlUs s e"l~~de r~zwe i t en— Comput e r e inhe r in— Form e ine S' 

Netzzertif ikats verfligbar gemacht. Der offentliche Netz- 
schlussel muJJ bei dieser Weiterbildung nicht in der ersten 
Computereinheit verfugbar sein. 

In einer weiteren Ausgestaltung ist es nicht notig, daii der 
offentliche Benutzerschliissel in der zweiten Computereinheit 
verfugbar ist. 

Gemaii einer weiteren Ausgestaltung ist in der ersten Compu- 
tereinheit kein vertrauenswiirdiger offentlicher Netzschlussel 
der zweiten Computereinheit erf orderlich . In der ersten Com- 
puterenheit ist ein vertrauenswurdiger offentlicher Zertifi- 
zierungsschlussel der Zertifizierungs computereinheit verfug- 
bar . Dies bedeutet/ daB die erste Computereinheit sich den 
vertrauenswurdigen offentlichen Netzschlussel in Form eines 
Netzzertif ikats von einer Zertif izierungscomputereinheit 
"besorgen" muB . Ebenso braucht die zweite Computereinheit den 
vertrauenswurdigen offentlichen Benutzerschussel in Form ei- 
nes Benutzerzertif ikats von der Zertif izierungscomputerein- 
heit. 

Durch die Weiterbildungen der Erfindung gemaii den Patentan- 
spruchen 13, 15 und 20 wird das Sicherheitsziel der Benutzer- 
anonymitat realisiert, d.h. die Vertraulichkeit der Identitat 
des Benutzers gegeniiber Dritten, 

Die Weiterbildung des erf indungsgemaBen Verfahrens gemaB Pa- 
tentanspruch 15 ermoglicht die Verwendung von temporaren Be- 
nutzer identitat en . 

Durch die Weiterbildung des Verfahrens gemaB Patentanspruch 
16 wird vor allem eine zusatzliche Authentif izierung der 
zweiten Computereinheit gegenuber der ersten Computereinheit 
gewahrleistet . 
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Durch die Weiterbildung gemaB Patentanspruch 18 wird das Si- 
"~ ' cherh'eitszrel~der~Zusi"cherung-de^^ — (-A-ktua-litat ) -des 

Sitzungsschlussels fiir das Netz realisiert. 

5 Durch die Weiterbildung gemafi Patentanspruch 21 wird zusatz- 
lich das Sicherheitsziel der Nichtabstreitbarkeit von Daten 
realisiert, die vom Benutzer an das Netz gesendet wurden. 

Die Zeichnungen stellen bevorzugte Ausf uhrungsbeispiele der 
10 Erfindung dar, die im folgenden naher beschrieben werden. 



Es zeigen 

Figur 1 ein Ablauf diagramm, das ein erstes Ausf iihrungsbei- 

spiel des Verfahrens mit einigen Weiterbildungen dar- 
15 stent; 

Figur 2 ein Ablauf diagramm, das ein zweites Ausf uhrungsbei- 

spiel des Verfahrens mit einigen Weiterbildungen dar- 
stellt; 

Figuren 3 ein Ablauf diagramm, das ein drittes Ausf uhrungsbei- 
20 spiel des Verfahrens mit einigen Weiterbildungen dar- 

stellt; 




Erstes Ausf lihrungsbei spiel 



25 In Figur 1 ist durch eine Skizze der Ablauf des Verfahrens 

dargestellt. Das Verfahren betrifft den Austausch kryptogra- 
phischer Schlussel zwischen einer ersten Computereinheit U 
und einer zweiten Computereinheit N, wobei unter der ersten 
Computereinheit U eine Computereinheit eines Benutzers eines 

30 Mobilfunknetzes zu verstehen ist und unter einer zweiten Com- 
putereinheit N eine Computereinheit des Netzbetreibers eines 
Mobilfunksystems zu verstehen ist. 




Fiir das Verfahren wird vorausgesetzt, daB in der ersten Com- 
35 putereinheit U ein vertrauenswiirdiger offentlicher Netz- 

schlussel g^ der zweiten Computereinheit N verfiigbar ist und 
daB in der zweiten Computereinheit N ein vertrauenswurdiger 
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offentlicher Benutzerschlussel KU der ersten Computereinheit 
~U ver f agbar'^rs t"r"wobel— g-e rn—er z eugen - 
chen Gruppe ist- 

In der ersten Computereinheit U wird eine erste Zufallszahl t 
generiert (Schritt 101) . Aus der ersten Zufallszahl t wird 
mit Hilfe des erzeugenden Elements g einer endlichen Gruppe 
in der ersten Computereinheit U ein erster Wert g"^ gebildet 
(Schritt 102) , 

Nach der Berechnung des ersten Werts g^ wird eine erste Nach- 
richt Ml codiert, die mindestens den ersten Wert g^ aufweist. 
Die erste Nachricht Ml wird von der ersten Computereinheit U 
an die zweite Computereinheit N ubertragen (Schritt 103) . 



In der zweiten Computereinheit N wird die erste Nachricht Ml 
decodiert. Die erste Nachricht Ml kann auch uber einen unsi- 
cheren Kanal, also auch uber eine Luf tschnittstelle, unver- 
schlusselt ubertragen werden, da die Logarithmierung des er- 
20 sten Wertes g^ nicht in vertretbarer Zeit durchgefuhrt werden 
kann . 

In der zweiten Computereinheit N wird eine zweite Zufallszahl 
r generiert (Schritt 104) . Durch diesen zusatzlichen Verfah- 
rensschritt wird ein zusatzliches Sicherheitsziel realisiert: 
die Zusicherung der Frische (Aktualitat) eines im folgenden 
beschriebenen Sitzungsschlussels K fur die zweite Compu- 
tereinheit N. 

30 In der zweiten Computereinheit N wird mit Hilfe einer ersten 
Hash-Funktion hi ein Sitzungsschlussel K gebildet (Schritt 
105) . Als eine erste Eingangsgrolie der ersten Hash-Funktion 
hi wird mindestens ein erster Term verwendet. Der erste Term 
wird gebildet, indem der erste Wert g^ potenziert wird mit 

35 einem geheimen Netzschlussel s. 
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Wenn die zweite Zufallszahl r verwendet wird, so weist die 

e r s t e~E"inig'anig sig r'5 15i9~d'e*r^e'r 

mindestens die zweite Zufallszahl r auf. 



5 Nun wird in der zweiten Computereinheit N eine Antwort A ge- 
bildet (Schritt 106) . Zur Bildung der Antwort A sind ver- 
schiedene Varianten vorgesehen. So ist es z.B. moglich, daii 
itiit dem Sitzungsschliissel K unter Verwendung einer Verschlus- 
selungsfunktion Enc eine Konstante const, sowie eventuell 

10 weitere GroBen, verschliisselt wird. Die Konstante const ist 
sowohl der ersten Computereinheit U als auch der zweiten Com- 
putereinheit N bekannt. Auch die Verschliisselungsf unktion Enc 
ist sowohl der zweiten Computereinheit N als auch der ersten 
Computereinheit U als die in dem Verfahren zu verwendende 

15 Verschliisselungsf unktion bekannt. 




Eine weitere Moglichkeit, die Antwort A zu bilden (Schritt 
106) liegt darin, daii der Sitzungsschliissel K, sowie eventu- 
ell vorgebbare weitere GroBen, z.B. eine Identitatsangabe idN 
20 der zweiten Computereinheit N und/oder die zweite Zufallszahl 
als Eingangsgroiie fiir eine zweite Hash-Funktion h2 verwendet 
wird und der "gehashte" Wert des Sitzungsschliissels K, sowie 
eventuell der weiteren GroBen, als Antwort A verwendet wird, 

25 Eine Aneinanderreihung der zweiten Zufallszahl r, der Antwort 
A, sowie ein optionales erstes Datenfeld datl bilden eine 
zweite Nachricht M2 . Das optionale erste Datenfeld datl ist 
nur in der zweiten Nachrichten M2 enthalten, wenn dies in dem 
Verfahren vorgesehen ist. 

30 

Die zweite Nachricht M2 wird in der zweiten Computereinheit N 
codiert und zu der ersten Computereinheit U ubertragen 
(Schritt 107) , 

35 In der ersten Computereinheit U wird die zweite Nachricht M2 
decodiert, so dafi die erste Computereinheit U die zweite Zu- 
fallszahl r, die Antwort A sowie eventuell das optionale er- 
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ste Datenfeld datl zur Verfugung hat. Die Lange des optiona- 

-len 'er s t'en'~Dat-en-f'eirdes~datl~k ~sein, d , h r es 

ist auch moglich, daU das optionale erste Datenfeld datl 
nicht vorhanden ist, 

5 

In der ersten Computereinheit U wird nun ebenfalls der Sit- 
zungsschlussel K gebildet (Schritt 108), iciit Hilfe der ersten 
Hash-Funktion hi, die sowohl der zweiten Computereinheit N 
als auch der ersten Computereinheit U bekannt ist. Eine zwei- 

10 te Eingangsgroiie der ersten Hash-Funktion hi zur Bildung des 
Sitzungsschlussels K in der ersten Computereinheit U weist 
mindestens einen zweiten Term auf . Der zweite Term wird ge- 

m bildet aus einer Exponentation eines offentlichen Netzschlus- 
sels g^ mit der ersten Zufallszahl t. Wenn die Verwendung der 

15 zweiten Zufallszahl r in dem Verfahren zur Berechnung des 
Sitzungsschlussels K vorgesehen wird, so weist die zweite 
Eingangsgroiie der ersten Hash-Funktion hi zur Bildung des 
Sitzungsschlussels K in der ersten Computereinheit U zusatz- 
lich die zweite Zufallszahl r auf. 

20 

Durch die Verwendung der ersten Zufallszahl t und der zweiten 
Zufallszahl r bei der Generierung des Sitzungsschlussels K 
wird die Aktualitat des Sitzungsschlussels K gewahrleistet, 
da jeweils die erste Zufallszahl t als auch die zweite Zu- 
25 fallszahl r nur fur jeweils einen Sitzungsschliissel K verwen- 
f det werden. Somit wird eine Wiedereinspielung eines alteren 
Schliissels als Sitzungsschliissel K verhindert. 

Nachdem in der ersten Computereinheit U der Sitzungsschlussel 
30 K gebildet wurde, wird anhand der empfangenen Antwort A uber- 
prtift, ob der in der ersten Computereinheit U gebildete Sit- 
zungsschliissel K mit dem Sitzungsschliissel K, der in der 
zweiten Computereinheit N gebildet wurde, iibereinstimmt 
(Schritt 109) . Abhangig von den im vorigen beschriebenen Va- 
35 rianten zur Bildung der Antwort A sind verschiedene Moglich- 
keiten vorgesehen, den Sitzungsschliissel K anhand der Antwort 
A zu iiberpriif en. 
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Eine"Mo"gric]Tk^rt~l5e~st^^^ A in 

der zweiten Computereinheit N durch Verschlusselung der Kon- 
stante const, sowie eventuell weitere GroBen, mit dem Sit- 
5 zungsschliissel K unter Verwendung der Verschliisselungsf unkti- 
on Enc gebildet wurde, die Antwort A entschliisselt wird, und 
somit die erste Computereinheit U eine entschliisselte Kon- 
stante const*, sowie eventuell vorgebbare weitere GroBen, er- 
halt, die mit der bekannten Konstante const, sowie eventuell 
10 den weiteren Grolien, verglichen wird. 

Die tJberprtifung des Sitzungsschlussels K anhand der Antwort A 
kann auch durchgefiihrt werden, indem die der ersten Compu- | 
tereinheit U bekannte Konstante const, sowie eventuell vor- 

15 gebbare weitere GroBen, mit dem in der ersten Computereinheit 
U gebildeten Sitzungsschlussel K unter Verwendung der Ver- 
schliisselungsf unktion Enc verschlusselt wird und das Ergebnis 
mit der Antwort A auf Obereinstimmung gepriift wird. Diese 
Vorgehensweise wird auch verwendet, wenn die Antwort A in der 

20 zweiten Computereinheit N gebildet wird, indem auf den Sit- 
zungsschlussel K, sowie eventuell den weiteren GroBen, die 
zweite Hash-Funktion h2 angewendet wird. In diesem Fall wird 
in der ersten Computereinheit U der in der ersten Compu- 
tereinheit U gebildete Sit zungsschliissel K, sowie eventuell 

25 vorgebbare weiteren GroBen, als EingangsgroBe der zweiten 

Hash-Funktion h2 verwendet. Der "gehashte" Wert des in der ! 
ersten Computereinheit U gebildeten Sitzungsschliissels K, so- 
wie eventuell weiterer GroBen, wird dann mit der Antwort A 
auf Obereinstimmung gepriift. Damit wird das Ziel der Schliis- 

30 selbestatigung des Sitzungsschliissels K erreicht. 

Dadurch, daB bei der Berechnung des Sitzungsschlussels K in 
der zweiten Computereinheit N der geheime Netzschlussel s und 
bei der Berechnung des Sitzungsschliissels K in der ersten 
35 Computereinheit U der offentliche Netzschliissel g^ verwendet 
werden, wird die zweite Computereinheit N durch die erste 
Computereinheit U authentif iziert . Dies wird erreicht, vor- 
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ausgesetzt dafi fur die erste Computereinheit U bekannt ist, 

dalJ der "of f en't~l"rch~e~Ne't'z-s-c^^^ zweiten 

Computereinheit N gehort . 

5 Im Anschlufi an die Bestatigung des Sitzungsschlussels K durch 
Oberpriifung der Antwort A wird ein Signaturterm berechnet 
(Schritt 110) . Hierzu wird mit Hilfe einer dritten Hash- 
Funktion h3 eine vierte EingangsgroBe gebildet. Die dritte 
Hash-Funktion h3 kann, muB aber nicht dieselbe Hash-Funktion 

0 sein wie die erste Hash-Funktion hi und/oder die zweite Hash- 
Funktion h2, Als eine dritte EingangsgroBe fur die dritte 
Hash-Funktion h3 wird ein Term verwendet, der eine oder wei- 
tere GroBen aufweist, aus denen auf den Sitzungsschlussel 
eindeutig riickgeschlossen werden kann, enthalt . Weiterhin kann 

5 die dritte EingangsgroBe das optionale erste Datenfeld datl 
Oder auch ein optionales zweites Datenfeld dat2 enthalten, 
wenn deren Verwendung in dem Verfahren vorgesehen wird, 

Solche GroBen sind der erste Wert g^, der offentliche Netz- 
0 schlussel g^ sowie die zweite Zufallszahl r, 

Es kann spater nicht abgestritten werden, daB die Daten, die 
im ersten optionale Datenfeld datl und im zweiten optionalen 
Datenfeld dat2 enthalten sind, von der ersten Computereinheit 
5 U gesendet wurden. 

Die in dem ersten optionalen Datenfeld datl und in dem zwei- 
ten optionalen Datenfeld dat2 enthaltenen Daten konnen Tele- 
fonnummern, die aktuelle Zeit oder ahnliche hierfur geeignete 
0 Parameter sein. Diese Information kann als Werkzeug fur eine 
unanf echtbare Gebuhrenabrechnung verwendet werden. 

Unter Verwendung einer ersten Signaturf unktion Sigu wird der 
Signaturterm aus mindestens der vierten EingangsgroBe gebil- 
5 det, Um einen hoheren Sicherheitsgrad zu erzielen, kann der 
Signaturterm verschlusselt werden. Der Signaturterm wird in 
diesem Fall mit dem Sitzungsschlussel K unter Verwendung der 
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Verschlusselungsfunktion Enc verschliisselt und bildet den er- 
sten verscfrrosserten Term VTl" 

AuBerdem wird, falls das Sicherheitsziel "Anonymitat des Be- 
5 nutzers" realisiert werden soil, ein zweiter verschliisselter 
Term VT2 berechnet, in dem eine IdentitatsgroBe IMUI der er- 
sten Computereinheit U mit dem Sitzungschliissel K mit Hilfe 
der Verschlusselungsfunktion Enc verschliisselt wird. Bei Ver- 
wendung eines optionalen zweiten Datenfeldes dat2 wird in der 
10 ersten Computereinheit U ein dritter verschliisselter Term VT3 
berechnet, indem das optionale zweite Datenfeld dat2 mit dem 
Sitzungsschlussel K unter Verwendung der Verschliisselungs- 
funktion Enc verschliisselt wird, das optionale zweite Daten- | 
feld dat2 kann auch unverschltisselt ubertragen werden. 

15 

Die drei verschliisselten Terme konnen auch zu einem vierten 
verschliisselten Term VT4 zusammengef asst werden, in dem die 
Verkettung von Signaturterm, Identitatsgroiie IMUI und optio- 
nalem zweiten Datenfeld dat2 mit dem Sitzungsschliissel K ver- 
20 schlusselt ist (Schritt 111) . 

In der ersten Computereinheit U wird eine dritte Nachricht M3 
gebildet und codiert, die mindestens den Signaturterm und die 
IdentitatsgroBe IMUI der ersten Computereinheit U aufweist. 

25 

Falls die Anonymitat der ersten Computereinheit U gewahrlei- I 
stet werden soil, weist die dritte Nachricht M3 anstatt der 
Identitatsgroiie IMUI der ersten Computereinheit U mindestens 
entweder den zweiten verschlusselten Term VT2 oder den vier- 
30 ten verschlusselten Term VT4 auf, der die Information iiber 

die Identitat der ersten Computereinheit U in verschliisselter 
Form enthalt, die nur von der zweiten Computereinheit N ent- 
schliisselt werden kann. 

35 Wenn die Verwendung des optionalen zweiten Datenfelds dat2 
vorgesehen wird, weist die dritte Nachricht M3 zusatzlich 
mindestens den dritten verschliisselten Term VT3 oder den 
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vierten verschlusselten Term VT4 oder das optionale zweite 
Datenf erd~nd'at2~±m"'Kl'a'rtext™aL ~" 

Wenn die dritte Nachricht M3 den ersten verschlusselten Term 
VTl, den zweiten verschlusselten Term VT2 oder den dritten 
verschlusselten Term VT3 oder den vierten verschlusselten 
Term VT4 enthalt, werden diese in der zweiten Computereinheit 
N entschliisselt . Dies geschieht fiir den eventuell vorhandenen 
ersten verschlusselten Term VTl vor der Verifikation des Si- 
gnaturterms . 

Die dritte Nachricht M3 wird von der ersten Computereinheit U 
zu der zweiten Computereinheit N ubertragen (Schritt 112). 

Zusatzlich wird die Authentif ikation der ersten Computerein- 
heit U gegeniiber der zweiten Computereinheit N durch den Si- 
gnaturterm gewahrleistet , der die Zuf allszahl r enthalt, 
durch deren Verwendung garantiert wird, daii die dritte Nach- 
richt M3 tatsachlich aktuell von der ersten Computereinheit U 
gesendet wurde • 

In der zweiten Computereinheit N wird die dritte Nachricht M3 
decodiert, entschliisselt und anschliefiend wird anhand eines 
Benuterzertif ikats CertU, das der zweiten Computereinheit N 
zur Verfugung steht, der Signaturterm verifiziert (Schritt 
113) . 

Wenn ftir das Verfahren temporare Benutzeridentitaten vorgese- 
hen werden, so wird das im vorigen beschriebene Verfahren urn 
einige Verf ahrensschritte erweitert* 

Zuerst muJ5 der zweiten Computereinheit N bekannt gemacht wer- 
den, welche erste Computereinheit U eine neue temporare Iden- 
titatsgroBe TMUIN von der zweiten Computereinheit N zugewie- 
sen bekommen soil. 
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Hierzu wird als zusatzlicher Bestandteil der ersten Nachricht 
Ml ei1ae~^rte~15eit^^ ersten 
Computereinheit U an die zweite Computereinheit N ubertragen. 

5 Nach Empfang der ersten Nachricht Ml ist somit in der zweiten 
Computereinheit N bekannt, fur welche erste Computereinheit U 
die neue temporare Identitatsgrolie TMUIN bestimmt ist. 

In der zweiten Computereinheit N wird dann die neue temporare 
10 Identitatsgroiie TMUIN fur die erste Computereinheit U gebil- 
det. Dies kann z. B, durch Generierung einer Zufallszahl oder 
durch Tabellen, in denen mogliche IdentitatsgroBen abgespei- 
chert sind, durchgefuhrt werden. Aus der neuen temporaren | 
IdentitatsgroBe TMUIN der ersten Computereinheit U wird in 
15 der zweiten Computereinheit N ein funfter verschlusselter 

Term VT5 gebildet, indem die neue temporare Identitatsgroiie 
TMUIN der ersten Computereinheit U mit dem Sitzungsschlussel 
K unter Verwendung der Verschltisselungsf unktion Enc ver- 
schlusselt wird. 

20 

In diesem Fall weist die zweite Nachricht N2 zusatzlich min- 
destens den fiinften verschlusselten Term VT5 auf . Der funfte 
verschlusselte Term VT5 wird dann in der ersten Computerein- 
heit U entschliisselt . Nun ist die neue temporare Identitats- 
25 groiie TMUIN der ersten Computereinheit U in der ersten Compu- 
tereinheit U verfugbar. ' 

Damit der zweiten Computereinheit N auch gewahrleistet wird, 
daii die erste Computereinheit U die neue temporare Identi- 
30 tatsgrolie TMUIN korrekt empfangen hat, weist die dritte Ein- 
gangsgrofie fiir die erste Hash-Funktion hi oder fur die dritte 
Hash-Funktion h3 zusatzlich mindestens die neue temporare 
IdentitatsgroBe TMUIN der ersten Computereinheit U auf. 

35 Da die Information der neuen temporaren Identitatsgroiie TMUIN 
in dem Signaturterm in diesem Fall enthalten ist, weist die 
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dritte Nachricht M3 nicht mehr die Identitatsgroiie IMUI der 

Es ist auch moglich, die neue temporare Identitatsgroiie TMUIN 
5 nicht in den Signaturterin zu integrieren, sondern den zweiten 
verschltisselten Term VT2 zu bilden, indem anstatt der Identi- 
tatsgroiie IMUI der ersten Computereinheit U die neue tempora- 
re Identitatsgroiie TMUIN mit dem Sitzungsschlussel K unter 
Verwendung der Verschlusselungsfunktion Enc verschliisselt 
10 wird. In diesem Fall weist die dritte Nachricht M3 zusatzlich 
den zweiten verschliisselten Term VT2 auf . 

^ Die in dem Verfahren verwendeten Hash-Funktionen, die erste 
^ Hash-Funktion hi, die zweite Hash-Funktion h2 und die dritte 
15 Hash-Funktion h3 konnen durch die gleiche, aber auch durch 
verschiedene Hash-Funktionen realisiert werden. 

Zweites Ausfuhrungsbeispiel 

20 In Figur 2 ist durch eine Skizze der Ablauf eines zweiten 
Ausf uhrungsbeispiels des Verfahrens dargestellt. 

Fiir dieses Ausfuhrungsbeispiel des Verfahrens wird vorausge- 
setzt, daii in der ersten Computereinheit U ein vertrauenswiir- 
^5 diger offentlicher Benutzerschliissel KU der ersten Compu- 
W tereinheit U in Form eines Benutzerzertif ikats CertU verfug- 
bar gemacht wird und daii in der zweiten Computereinheit N ein 
vertrauenswurdiger offentlicher Netzschliissel g^ der zweiten 
Computereinheit N in Form eines Netzzertif ikats CertN verfug- 
30 bar gemacht wird. Der offentliche Netzschliissel g^ muii nicht 
in der ersten Computereinheit U verfugbar sein. Ebenso ist es 
nicht notig, daii der offentliche Benutzerschliissel KU in der 
zweiten Computereinheit N verfugbar ist. 

35 In der ersten Computereinheit U wird die erste Zufallszahl t 
generiert (Schritt 201) . Aus der ersten Zufallszahl t wird 
mit Hilfe des erzeugenden Elements g einer endlichen Gruppe 
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in der ersten Computereinheit U der erste Wert g"*^ gebildet 
(Schriinr~202)~:: 

Nach der Berechnung des ersten Werts g"^ wird eine erste Nach- 
5 richt Ml codiert, die mindestens den ersten Wert g^ und eine 
Identitatsangabe id^;^ einer Zertif izierungscomputereinheit 
CA, die das Net zzertif ikat CertN liefert, das von der ersten 
Computereinheit U verifiziert werden kann, aufweist. Die er- 
ste Nachricht Ml wird von der ersten Computereinheit U an die 
10 zweite Computereinheit N ubertragen (Schritt 203) . 

In der zweiten Computereinheit N wird die erste Nachricht Ml 
decodiert . 

15 Wie in Figur 2 beschrieben, wird in der zweiten Computerein- 
heit N eine zweite Zufallszahl r generiert wird (Schritt 

204) . Durch diesen zusatzlichen Verf ahrensschritt wird ein 
zusatzliches Sicherheitsziel realisiert: die Zusicherung der 
Frische (Aktualitat) eines im folgenden beschriebenen Sit- 

20 zungsschlussels K fur die zweite Computereinheit N. 

In der zweiten Computereinheit N wird mit Hilfe der ersten 
Hash-Funktion hi der Sitzungsschlussel K gebildet (Schritt 

205) , Als erste EingangsgroBe der ersten Hash-Funktion hi 

25 wird ein erster Term verwendet. Der erste Term wird gebildet; 
indem der erste Wert g^ potenziert wird mit dem geheimen 
Netzschliissel s, 

Wenn die zweite Zufallszahl r verwendet wird, so weist die 
30 erste Eingangsgrolie der ersten Hash-Funktion hi zusatzlich 
mindestens die zweite Zufallszahl r auf. 

Nun wird in der zweiten Computereinheit N eine Antwort A ge- 
bildet (Schritt 206) , Zur Bildung de.r Antwort A sind die im 
35 Rahmen des ersten Ausf iihrungsbeispiels beschriebenen Varian- 
ten vorgesehen. 
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Eine Aneinanderreihung der zweiten Zufallszahl r, des Netz- 

2 er t i f rka t's"~C ex t Nt — ^de r~~An t wo r t"~A7 — so wi~e~e r rr~op txona 1 e s e r s t e s 

Datenfeld datl bilden die zweite Nachricht M2 . Das optionale 
erste Datenfeld datl ist nur in der zweiten Nachricht M2 ent- 
5 halten, wenn dies in dem Verfahren vorgesehen ist. 

Die zweite Nachricht M2 wird in der zweiten Computereinheit N 
codiert und zu der ersten Computereinheit U iibertragen 
(Schritt 207) . 

10 

In der ersten Computereinheit U wird die zweite Nachricht M2 

decodiert/ so daii die erste Computereinheit U die zweite Zu- 
m fallszahl r, die Antwort A sowie eventuell das optionale er- 
' ste Datenfeld datl zur Verfugung hat. Die Lange des optiona- 
15 len ersten Datenfeldes datl kann beliebig groB sein, d.h. es 

ist auch moglich, daii das optionale erste Datenfeld datl 

nicht vorhanden ist. 

AnschlieBend wird das in der zweiten Nachricht M2 enthaltene 
20 Netzzertif ikat CertN in der ersten Computereinheit verifi- 
ziert. Somit steht der offentliche Netzschlussel g^ in der 
ersten Computereinheit U zur Verfugung. 

In der ersten Computereinheit U wird nun ebenfalls der Sit- 
25 zungsschlussel K gebildet (Schritt 208), mit Hilfe der ersten 
I Hash-Funktion hi, die sowohl in der zweiten Computereinheit N 
als auch in der ersten Computereinheit U bekannt ist. Eine 
zweite Eingangsgrolie der ersten Hash-Funktion hi zur Bildung 
des Sitzungsschliissels K in der ersten Computereinheit U 
30 weist mindestens einen zweiten Term auf . Der zweite Term wird 
gebildet aus einer Exponentation des offentlichen Netzschlus- 
sels g^ mit der ersten Zufallszahl t. Wenn die Verwendung der 
zweiten Zufallszahl r in dem Verfahren zur Berechnung des 
Sitzungsschliissels K vorgesehen wird, so weist die zweite 
35 Eingangsgrofie der ersten Hash-Funktion hi zur Bildung des 

Sitzungsschlussels K in der ersten Computereinheit U zusatz- 
lich die zweite Zufallszahl r auf. 
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DurclT~ai^Verwenaung^ der zweiten 

Zufallszahl r bei der Generierung des Sitzungsschliissels K 
wird die Aktualitat des Sitzungsschliissels K gewahrleistet , 
5 da jeweils die erste Zufallszahl t als auch die zweite Zu- 
fallszahl r nur fiir jeweils einen Sitzungsschliissel K verwen- 
det werden. Somit wird eine Wiedereinspielung eines alteren 
SchlUssels als Sitzungsschliissel K verhindert. 

10 Nachdem in der ersten Computereinheit U der Sitzungsschlussel 
K gebildet wurde, wird anhand der empfangenen Antwort A tiber- 
priift, ob der in der ersten Computereinheit U gebildete Sit- 
zungsschliissel K itiit dem Sitzungsschlussel K, der in der 
zweiten Computereinheit N gebildet wurde, tibereinstimmt 

15 (Schritt 209) . 

Abhangig von den im vorigen beschriebenen Varianten zur Bil- 
dung der Antwort A sind verschiedene Moglichkeiten vorgese- 
hen, den Sitzungsschliissel K anhand der Antwort A zu uberprii- 
20 fen. 

Zur Oberpriifung der Antwort A sind die im Rahmen des ersten 
Ausfuhrungsbeispiels beschriebenen Varianten vorgesehen. 
Damit wird das Ziel der Schliisselbestatigung des Sitzungs- 
25 schliissels K erreicht. 

Dadurch, daB bei der Berechnung des Sitzungsschliissels K in 
der zweiten Computereinheit N der geheime Netzschliissel s und 
bei der Berechnung des Sitzungsschlussels K in der ersten 

30 Computereinheit U der offentliche Netzschliissel g^ verwendet 
werden, wird die zweite Computereinheit N durch die erste 
Computereinheit U authentif iziert . Dies wird erreicht, vor- 
ausgesetzt daB fur die erste Computereinheit U bekannt ist, 
daB der offentliche Netzschliissel g^. tatsachlich zur zweiten 

35 Computereinheit N gehort - 
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Im Anschlufi an die Bestatigung des Sitzungsschlussels K durch 

OberprUfun'g~de"r~Jto"two*rt~A™wTr^^ 

(Schritt 210) . Hierzu wird mit Hilfe der dritten Hash- 
Funktion h3 eine vierte EingangsgroBe gebildet. Die dritte 
5 Hash-Funktion h3 kann, muB aber nicht dieselbe Hash-Funktion 
sein wie die erste Hash-Funktion hi und/oder die zweite Hash- 
Funktion h2 . Als eine dritte EingangsgroJie flir die dritte 
Hash-Funktion h3 wird ein Term verwendet, der eine oder wei- 
tere Grofien aufweist, aus denen auf den Sitzungsschlussel 

10 eindeutig rtickgeschlossen werden kann. Weiterhin kann die 

dritte Eingangsgrofie das optionale erste Datenfeld datl oder 
auch ein optionales zweites Datenfeld dat2 enthalten, wenn 

^ deren Verwendung in dem Verfahren vorgesehen wird. 

15 Solche Grofien sind der erste Wert g^, der offentliche Netz- 
schlussel g^ sowie die zweite Zufallszahl r. 

Es kann spater nicht abgestritten werden, dafi die Daten, die 
iiti ersten optionale Datenfeld datl und im zweiten optionalen 
20 Datenfeld dat2 enthalten sind, von der ersten Computereinheit 
U gesendet wurden. 

Die in dem ersten optionalen Datenfeld datl und in dem zwei- 
ten optionalen Datenfeld dat2 enthaltenen Daten konnen Tele- 
25 fonnummern, die aktuelle Zeit oder ahnliche hierfiir geeignete 
I Parameter sein, Diese Information kann als Werkzeug fiir eine 
unanf echtbare Gebiihrenabrechnung verwendet werden. 

Unter Verwendung einer ersten Signaturf unktion Sigy wird der 
30 Signaturterm aus mindestens der vierten EingangsgroBe gebil- 
det. Um einen hoheren Sicherheitsgrad zu erzielen, kann der 
Signaturterm verschlusselt werden. Der Signaturterm wird in 
diesem Fall mit dem Sitzungsschlussel K unter Verwendung der 
Verschliisselungsfunktion Enc verschlusselt und bildet den er- 
35 sten verschliisselten Term VTl . 
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AuBerdem wird, falls das Sicherheitsziel "Anonymitat des Be- 
nu t zers" reaFisTer^t werden soTl"; eTn "z wei ter ve f ^ ch 1 iis s e 1 1 e r 
Term VT2 berechnet, in dem ein Benutzerzertif ikat CertU der 
ersten Computereinheit U mit dem SitzungschlUssel K mit Hilfe 
5 der Verschliisselungsf unktion Enc verschlusselt wird. Bei Ver- 
wendung eines optionalen zweiten Datenfeldes dat2 kann in der 
ersten Computereinheit U ein dritter verschliisselter Term VT3 
berechnet werden, indem das optionale zweite Datenfeld dat2 
mit dem Sitzungsschlussel K unter Verwendung der Verschliisse- 
10 lungsf unktion Enc verschlusselt wird. Das optionale zweite 
Datenfeld dat2 kann ebenso unverschliiselt iibertragen werden. 

Die drei verschlusselten Terme konnen auch zu einem vierten 
verschlusselten Term VT4 zusammengef asst werden, in dem die 
15 Verkettung von Signaturterm, Identitatsgroiie IMUI und optio- 
nalem zweiten Datenfeld dat2 mit K verschlusselt ist (Schritt 
211) . 

In der ersten Computereinheit U wird eine dritte Nachricht M3 
20 gebildet und codiert, die mindestens den Signaturterm und das 
Benutzerzertif ikat CertU der ersten Computereinheit U auf- 
weist. Falls die Benutzeranonymitat der ersten Computerein- 
heit U gewahrleistet werden soil, weist die dritte Nachricht 
M3 anstatt des Benutzerzertif ikats CertU der ersten Compu- 
25 tereinheit U mindestens entweder den zweiten verschlusselten 
Term VT2 oder den vierten verschlusselten Term VT4 auf , der 
das Benutzerzertif ikat CertU der ersten Computereinheit U in 
verschlusselter Form enthalt, die nur von der zweiten Compu- 
tereinheit N entschliisselt werden kann. 

30 

Wenn die Verwendung des optionalen zweiten Datenfelds dat2 
vorgesehen wird, weist die dritte Nachricht M3 zusatzlich 
mindestens den dritten verschlusselten Term VT 3 oder den 
vierten verschlusselten Term VT4 auf. Wenn die dritte Nach- 
35 richt M3 den ersten verschlusselten Term VTl, den zweiten 
verschlusselten Term VT2 oder den dritten verschlusselten 
Term VT3 oder den vierten verschlusselten Term VT4 aufweist. 
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warden diese in der zweiten Computereinheit N entschlusselt • 
Di e s " ges"cKxelTt"~ f uT"Tien~'e ventTue rr vorharidenen "er s ^ ver- 
schlusselten Term VTl vor der Verifikation des Signaturterms . 

5 Die dritte Nachricht M3 wird von der ersten Computereinheit U 
zu der zweiten Computereinheit N ubertragen (Schritt 212) . 

In der zweiten Computereinheit N wird die dritte Nachricht M3 
decodiert, entschlusselt und anschlieliend wird anhand eines 
0 Benuterzertif ikats CertU, das der zweiten Computereinheit N 
zur Verftigung steht, der Signaturterm verifiziert (Schritt 
213) . 

Zusatzlich wird die Authentif ikation der ersten Computerein- 
5 heit U gegenuber der zweiten Computereinheit N durch den Si- 
gnaturterm gewahrleistet, der die Zufallszahl r enthalt, 
durch deren Verwendung garantiert wird, daJi die dritte Nach- 
richt M3 tatsachlich aktuell von der ersten Computereinheit U 
gesendet wurde . 

0 

Wenn fiir das Verfahren temporare Benutzeridentitaten vorgese- 
hen werden, so wird das im vorigen beschriebene Verfahren um 
einige Verf ahrensschritte erweitert * 

5 In der zweiten Computereinheit N wird ftir die erste Compu- 
tereinheit U eine neue temporare Identitatsgrolie TMUIN gebil- 
det, die der ersten Computereinheit U im weiteren zugewiesen 
wid. Dies kann durch Generierung einer Zufallszahl oder durch 
Tabellen, in denen mogliche IdentitatsgroiJen abgespeichert 

0 sind, durchgefuhrt werden. Aus der neuen temporaren Identi- 
tatsgrolie TMUIN der ersten Computereinheit U wird in der 
zweiten Computereinheit N ein funfter verschliisselter Term 
VT5 gebildet, indem die neue temporare Identitatsgrolie TMUIN 
der ersten Computereinheit U mit dem. Sitzungsschliissel K un- 

5 ter Verwendung der Verschlusselungsf unktion Enc verschlusselt 
wird. 
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In diesem Fall weist die zweite Nachricht M2 zusatzlich min- 
destens den fOrrrten versclTrus^ri!"en"~Term VT5 aufT Der funfte 
verschlusselte Term VT5 wird dann in der ersten Computerein- 
heit U entschlusselt . Nun ist die neue temporare Identitats- 
5 groBe TMUIN der ersten Computereinheit U in der ersten Compu- 
tereinheit U verfugbar, 

Damit der zweiten Computereinheit N auch gewahrleistet wird, 
dali die erste Computereinheit U die neue temporare Identi- 
10 tatsgroiie TMUIN korrekt empfangen hat, weist die dritte Ein- 
gangsgroiJe fiir die erste Hash-Funktion hi oder fur die dritte 
Hash-Funktion h3 zusatzlich mindestens die neue temporare 
IdentitatsgroBe TMUIN der ersten Computereinheit U auf. i 

15 Es ist auch moglich, die neue temporare Identitatsgrolie TMUIN 
nicht in den Signaturterm zu integrieren, sondern den zweiten 
verschlusselten Term VT2 zu bilden, indem die neue temporare 
Identitatsgrofie TMUIN der ersten Computereinheit U mit dem 
Sitzungsschlussel K unter Verwendung der Verschlusselungs- 

20 funktion Enc verschliisselt wird. In diesem Fall weist die 
dritte Nachricht M3 zusatzlich den zweiten verschlusselten 
Term VT2 auf. 



Drittes Ausf uhrungsbeispiel 

25 

In Figur 3 ist durch eine Skizze der Ablauf eines dritten 
Ausf uhrungsbeispiels dargestellt . 




Fiir dieses Ausf uhrungsbeispiel des Verfahrens wird vorausge- 
30 setzt, daB in der ersten Computereinheit U kein vertrauens- 
wiirdiger offentlicher Netzschliissel g^ der zweiten Compu- 
tereinheit N verfiigbar ist* In der ersten Computereinheit U 
ist ein vertrauenswurdiger offentlicher Zertif izierungs- 
schliissel cs einer Zertif izierungscomputereinheit CA verfiig- 
35 bar. Dies bedeutet, daB die erste Computereinheit U sich den 
vertrauenswurdigen offentlichen Netzschlussel g^ in Form ei- 
nes Netzzertif ikats CertN von der Zertif izierungscomputerein- 
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heit CA "besorgen" muli. Ebenso braucht die zweite Compu- 
te r e i"n'h~e'r t^N'^den" ve r t r auen's wU^r^^^ z e r- 
schtissel KU in Form eines Benutzerzertif ikats CertU von der 
Zertif izierungscomputereinheit CA. 

5 

In der ersten Computereinheit U wird die erste Zufallszahl t 
generiert (Schritt 301). Aus der ersten Zufallszahl t wird 
mit Hilfe des erzeugenden Elements g einer endlichen Gruppe 
in der ersten Computereinheit U der erste Wert g^ gebildet 
0 (Schritt 302) . 

Nach der Berechnung des ersten Werts g^ wird eine erste Nach- 
richt Ml codiert, die mindestens den ersten Wert g^/ eine 
Identitatsgrofle IMUI der ersten Computereinheit U und eine 

5 IdentitatsgroBe id^j^ einer Zertif izierungscomputereinheit CA, 
die ein Netzzertif ikat CertN liefert, das von der ersten Com- 
putereinheit U verifiziert werden kann, aufweist. Dies ist 
notig, wenn mehrere Zertif izierungsinstanzen mit unterschied- 
lichen geheimen Zertif izierungsschltisseln vorgesehen werden. 

0 Wenn das Sicherheitsziel der Benutzeranonymitat realisiert 

werden soli, wird in der ersten Computereinheit U vor Bildung 
der ersten Nachricht Ml ein Zwischenschliissel L gebildet. 
Dies geschieht durch Potenzierung des offentlichen Schlussel- 
vereinbarungsschliissels g^ der Zertif izierungscomputereinheit 

5 CA, der in der ersten Computereinheit U verftigbar ist, mit 

der ersten Zufallszahl t. Im weiteren wird in diesem Fall die 
IdentitatsgroBe IMUI der ersten Computereinheit U mit dem 
Zwischenschliissel L unter Anwendung einer Verschlusselungs- 
funktion Enc verschlusselt und das Ergebnis stellt einen 

0 fiinften verschlusselten Term VT5 dar. Der funfte verschliis- 
selte Term VT5 wird anstatt der IdentitatsgroBe IMUI der er- 
sten Computereinheit U in die erste Nachricht Ml integriert. 
Die erste Nachricht Ml wird von der ersten Computereinheit U 
an die zweiten Computereinheit N ubertragen (Schritt 303) . 

5 

In der zweiten Computereinheit N wird die erste Nachricht Ml 
decodiert, und eine vierte Nachricht M4 gebildet (Schritt 
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304), die eine Verkettung des der zweiten Coitiputereinheit N 

~ ■ b"e k ann t e n Z er^lTif i"]ca"t^^C er^tN "anr~^err~oT'f ent:l~ichen Netzschlus- 

sel g^, dem ersten Wert g"^ und der Identitatsgrolie IMUI der 
ersten Computereinheit U aufweist. In dem Fall, dafi das Si- 
5 cherheitsziel der Benutzeranonymitat realisiert werden soil, 
wird in der vierten Nachricht M4 anstatt der IdentitatsgroJie 
IMUI der ersten Computereinheit U der funfte verschliisselte 
Term VT5 codiert. 

10 Die vierte Nachricht M4 wird in der zweiten Computereinheit N 
codiert und anschlieUend an die Zertif izierungscomputerein- 
heit CA ubertragen (Schritt 304) . 

In der Zertif izierungscomputereinheit CA wird die vierte 
15 Nachricht M4 decodiert. 

AnschlieBend wird, falls die Benutzeranonymitat gewahrleistet 
wird, also der funfte verschliisselte Term VT5 in der vierten 
Nachricht M4 mitgesendet wurde, in der Zertif izierungscompu- 
20 tereinheit CA der Zwischenschlussel L berechnet, indem der 
erste Wert g^ mit einem geheimen Schliisselvereinbarungs- 
schlussel u der Zertif izierungscomputereinheit CA potenziert 
wird. 

25 Mit dem Zwischenschlussel L wird unter Verwendung der Ver- . 
schlusselungsf unktion Enc der funfte verschliisselte Term VT5 \ 
entschliisselt, womit in der Zertif izierungscomputereinheit CA 
die Identitatsgrolie IMUI der ersten Computereinheit U bekannt 
ist . 

30 

In der Zertif izierungscomputereinheit CA wird dann das Benut- 
zerzertif ikat CertU ermittelt. Das Benutzerzertif ikat CertU 
wird aus einer der Zertif izierungscomputereinheit CA eigenen 
Datenbank ermittelt, die alle Zertifikate der Computereinhei- 
35 ten enthalt, fiir die die Zertif izierungscomputereinheit CA 
Zertifikate erstellt. 
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Urn die Gultigkeit des Netzzertif ikats CertN und des Benutzer- 

zertl'f rka"t"S"CertU~2u~ube'rprtifen^ 

idjg der Netzcomputereinheit N und der in der vierten Nach- 
richt mitgesendete offentliche Netzschliissel g^, die Identi- 
5 tatsgrolie IMUI der ersten Computereinheit U sowie das ermit- 
telte Benutzerzertif ikat CertU mit einer Revokationsliste 
verglichen, in der ungiiltige Zertifikate, Schltissel oder 
IdentitatsgroBen aufgefiihrt sind. 

10 Anschlieiiend bildet die Zertif izierungscomputereinheit CA 
drei Ketten von Zertif ikaten, eine erste Zertif ikatskette 
CertChain(U, N) , eine zweite Zertif ikatskette CertChain (N, 
1^ U) sowie eine dritte Zertif ikatskette CertChain (N, CA) . 

15 Die erste Zertif ikatskette CertChain (U, N) kann von der er- 
sten Computereinheit U mittels des der ersten Computereinheit 
U bekannten offentlichen Zertif izierungsschliissels der Zerti- 
f izierungscomputereinheit CA verifiziert werden und enthalt 
als letztes Glied ein Zertifikat CertN auf den offentlichen 

20 Schltissel g^ von der zweiten Computereinheit N. 

Die zweite Zertif ikatskette CertChain (N, U) kann von der 
zweiten Computereinheit N verifiziert werden und enthalt als 
letztes Glied ein Zertifikat CertU auf den offentlichen 
^5 Schlussel KU von der ersten Computereinheit U. 

Die dritte Zertif ikatskette CertChain (N, CA) kann von der 
zweiten Computereinheit N verifiziert werden und enthalt als 
letztes Glied ein Zertifikat auf den offentlichen Verifikati- 
30 onsschlussels von der Zertif izierungscomputereinheit CA. 

Die erste Zertif ikatskette CertChain (U, N) und die zweite 
Zertif ikatskette CertChain (N, U) konnen eindeutig identifi- 
ziert werden durch die Identif ikatoren cidU und cidN, 

35 

Anschlieiiend wird aus mindestens einer Verkettung des ersten 
Werts gt und der Identif ikatoren cidU und cidN 
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ein dritter Term gebildet. 



Der dritte Term wird mit Hilfe einer vierten Hash-Funktion h4 
"gehasht" und das Ergebnis der Hash-Funktion h4 wird unter 
5 Verwendung einer dritten Signaturf unktion Sig^j^ signiert. 

Weiterhin wird in der Zertif izierungscomputereinheit CA ein 
Zeitstempel TS kreiert. Dieser findet optional Eingang in den 
dritten Term. 

10 

Eine in der Zertif izierungscomputereinheit CA gebildete funf- 
te Nachricht M5 weist mindestens eine Verkettung aus dem si- 
gnierten dritten Term und den Zertif ikatsketten CertChain(U, i 
N) und CertChain(N, U) sowie optional den Zeitstempel TS und 
15 die Zertif ikatskette CertChain(N, CA) auf. Optional werden 

der signierte Hash-Wert des dritten Terms sowie die Zertifi- 
katskette CertChain(N, U) mit dem Zwischenschliissel L ver- 
schlusselt. 

20 Die fiinfte Nachricht M5 wird in der Zertif izierungscomputer- 
einheit CA codiert und an die zweite Computereinheit N iiber- 
tragen (Schritt 305) . Nachdem die funfte Nachricht M5 in der 
zweiten Computereinheit N decodiert ist, wird der signierte 
Hash-Werts des dritten Terms verifiziert, sofern er nicht mit 

25 L verschlusselt ist. ^ 

In der zweiten Computereinheit N wird nun ein vierter Term 
gebildet, der mindestens eine Verkettung der Zertif ikatskette 
CertChain(U, N) und des (optional mit dem Zwischenschliissel L 
30 verschliisselten) signierten Hash-Werts des dritten Terms auf- 
weist . 

In der zweiten Computereinheit N wird mit Hilfe der ersten 
Hash-Funktion hi ein Sitzungsschlussel K gebildet. Als eine 
35 erste EingangsgroBe der ersten Hash-Funktion hi wird eine Ko- 
katenation eines ersten Terms mit der zweiten Zufallszahl r 
verwendet. Der erste Term wird gebildet, indem der erste Wert 
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potenziert wird mit einem geheimen Netzschlussel s. Die 
""zwei te " Zuf a-l^ls zahl-r -f indet Verwendung,- wenn das' -zusatzliche 
Sicherheitsziel der Zusicherung der Frische (Aktualitat) des 
Sitzungsschliissels K fur die zweiten Computereinheit N reali- 
siert werden soli. 1st dieses Sicherheitsziel nicht benotigt, 
wird die zweite Zufallszahl r nicht in dem Verfahren zur Be- 
rechnung des Sitzungsschlussels K verwendet. 

In der zweiten Computereinheit N wird eine Antwort A gebil- 
det, Zur Bildung der Antwort A sind die in dem ersten Ausfiih- 
rungsbeispiel beschriebenen Varianten vorgesehen. 

Eine Aneinanderreihung der zweiten Zufallszahl r, des vierten 
Terms, der Antwort A, sowie eines optionalen ersten Datenfel- 
des datl und des optionalen Zeitstempels bilden eine zweite 
Nachricht M2 . Das optionale erste Datenfeld datl ist nur in 
der zweiten Nachricht M2 enthalten, wenn dies in dem Verfah- 
ren vorgesehen wird. 

Die zweite Nachricht M2 wird in der zweiten Computereinheit N 
codiert und zu der ersten Computereinheit U iibertragen 
(Schritt 306) . 

In der ersten Computereinheit U wird die zweite Nachricht M2 
decodiert, so daii die ersten Computereinheit U die zweite Zu- 
falls.zahl r, die Antwort A sowie eventuell das optionale er- 
ste Datenfeld datl und eventuell den Zeitstempel TS zur Ver- 
fugung hat. Die Lange des optionalen ersten Datenfeldes datl 
kann beliebig groJi sein, d.h. es ist auch moglich, daii das 
optionale erste Datenfeld datl nicht vorhanden ist. 

In der ersten Computereinheit U wird nun ebenfalls der Sit- 
zungsschlussel K gebildet (Schritt 307), mit Hilfe der ersten 
Hash-Funktion hi, die sowohl der zweiten Computereinheit N 
als auch der ersten Computereinheit U bekannt ist. Eine zwei- 
te Eingangsgroiie der ersten Hash-Funktion hi zur Bildung des 
Sitzungsschlussels K in der ersten Computereinheit U weist 
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mindestens einen zweiten Term auf . Der zweite Term wird ge- 
bi~ldet~au-s~e±n'er— Exponentat^^ Net zschlus- 

sels mit der ersten Zufallszahl t. Wenn die zweite Zu- 
fallszahl r in dem Verfahren zur Berechnung des Sitzungs- 
5 schliissels K vorgesehen wird, so weist die zweite Eingangs- 
grolie der ersten Hash-Funktion hi zur Bildung des Sitzungs- 
schliissels K in der ersten Computereinheit U zusatzlich die 
zweite Zufallszahl r auf. 



10 Nachdem in der ersten Computereinheit U der Sitzungsschliissel 
K gebildet wurde, wird anhand der empfangenen Antwort A iiber- 
priift, ob der in der ersten Computereinheit U gebildete Sit- 
zungsschliissel K mit dem Sitzungsschliissel der in der 
zweiten Computereinheit N gebildet wurde, tibereinstimmt 

15 (Schritt 308) . 




Abhangig von den im vorigen beschriebenen Varianten zur Bil- 
dung der Antwort A sind die oben beschriebenen Moglichkeiten 
vorgesehen, den Sitzungsschliissel K anhand der Antwort A zu 
2 0 iiberpriif en . 

Dadurch, dali bei der Berechnung des Sitzungsschlussels K in 
der zweiten Computereinheit N der geheime Netzschliissel s und 
bei der Berechnung des Sitzungsschliissels K in der ersten 

25 Computereinheit U der offentliche Netzschlussel g^ verwendet . 
werden, wird die zweiten Computereinheit N durch die ersten \ 
Computereinheit U authentif iziert . Dies wird erreicht, vor- 
ausgesetzt daB fiir die erste Computereinheit U bekannt ist, 
dafi der offentliche Netzschlussel g^ tatsachlich zur zweiten 

30 Computereinheit N gehort. Letzteres wird von U erreicht durch 
die Verifikation der Zertif ikatskette CertChain(U, N) sowie 
des signierten Hashwerts des dritten Terms. 1st letzterer mit 
dem Zwischenschliissel L verschliisselt , mufi er vor der Verifi- 
kation mit dem Zwischenschliissel L entschliisselt werden. 



Im Anschlufi an die Bestatigung des Sitzungsschliissels K durch 
Oberprufung der Antwort A wird ein Signaturterm berechnet 
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(Schritt 309) . Hierzu wird mit Hilfe einer dritten Hash- 
Fun kti^rr~li3~^ine~viert^^^^ Die dritte 
Hash-Funktion h3 kann, muB aber nicht dieselbe Hash-Funktion 
sein wie die erste Hash-Funktion hi und/oder die zweite Hash- 
5 Funktion h2 • Als eine dritte Eingangsgrolie fur die dritte 

Hash-Funktion h3 wird ein Term verwendet, der eine oder wei- 
tere Grolien aufweist, aus denen auf den SitzungsschlUssel 
eindeutig riickgeschlossen werden kann, Weiterhin kann die 
dritte Eingangsgrolie das optionale erste Datenfeld datl oder 
10 auch ein optionales zweites Datenfeld dat2 enthalten, wenn 
deren Verwendung in dem Verfahren vorgesehen wird. 

m Solche Groflen sind der erste Wert g^, der offentliche Netz- 
schliissel g^ sowie die zweite Zufallszahl r. 

15 

Es kann spater nicht abgestritten werden, dafi die Daten, die 
im ersten optionale Datenfeld datl und im zweiten optionalen 
Datenfeld dat2 enthalten sind, von der ersten Computereinheit 
U gesendet werden. 

20 

Die in dem ersten optionalen Datenfeld datl und in dem zwei- 
ten optionalen Datenfeld dat2 enthaltenen Daten konnen Tele- 
fonnummern, die aktuelle Zeit oder ahnliche hierfur geeignete 
Parameter sein, Diese Information kann als Werkzeug fiir eine 
^5 unanf echtbare Gebuhrenabrechnung verwendet werden. 

Unter Verwendung einer ersten Signaturf unktion Sigu wird der 
Signaturterm aus mindestens der vierten EingangsgroBe gebil- 
det, Um einen hoheren Sicherheitsgrad zu erzielen, kann der 
30 Signaturterm verschlusselt werden. Der Signaturterm wird in 
diesem Fall mit dem SitzungsschlUssel K unter Verwendung der 
Verschliisselungsfunktion Enc verschlusselt und bildet den er- 
sten verschlusselten Term VTl. 

35 Bei Verwendung eines optionalen zweiten Datenfeldes dat2 wird 
in der ersten Computereinheit U ein dritter verschliisselter 
Term VT3 berechnet, indem das optionale zweite Datenfeld dat2 



98 P 1764 



34 

mit dem Sitzungsschliissel K unter Verwendung der Verschlusse- 
liing^funlctrion Enc versclilTis"s^It~v7rr^d^Das optTionale zweite 
Datenfeld dat2 kann auch unverschlusselt , also im Klartext 
iibertragen werden. 

5 

Alternativ zur Bildung des ersten und des dritten verschlus- 
selten Terms VTl und VT3 kann auch ein vierter verschlussel- 
ten Term VT4 gebildet werden, indem mindestens die Verkettung 
des Signaturterms sowie optional des Datenfeldes dat2 und des 
10 Zwischenschliissels L mit dem Sitzungsschlussel K verschlus- 
selt wird (Schritt 310) . 

In der ersten Computereinheit U wird eine dritte Nachricht M3 
gebildet und codiert, die mindestens aus dem ersten ver- I 
schlusselten Term VTl, und, wenn das optionale zweite Daten- 
15 feld dat2 verwendet wird, dem dritten verschlusselten Term 
VT3 Oder dem optionalen zweiten Datenfeld dat2 im Klartext, 
Oder aber aus dem vierten verschlusselten Term VT4 besteht. 

Die dritte Nachricht M3 wird von der ersten Computereinheit U 
20 2U der zweiten Computereinheit N ubertragen (Schritt 311) . 



In der zweiten Computereinheit N wird die dritte Nachricht M3 
25 decodiert und anschlieiiend wird der erste verschlusselte Ter 
VTl sowie eventuell der dritte verschlusselte Term VT3, oder 
aber der vierte verschlusselte Term VT4 entschliisselt . Wurden 
Telle der Nachricht M5 mit L verschliisselt , so kann nun die 
zweite Computereinheit N mit Hilfe des in Nachricht M3 emp- 
30 fangenen Zwischenschlussels L die verschlusselten Telle der 
Nachricht MS entschlusseln . Daraufhin kann die zweite Compu- 
tereinheit N die zweite Zertif ikatskette Cert (N, U) sowie den 
signierten Hashwert des dritten Terms unter Anwendung des of- 
fentlichen Verif ikationsschlussels von CA verif izieren . An- 
35 hand des Benuterzertif ikats CertU, das der zweiten Compu- 
tereinheit N nun zur Verfugung steht, wird der Signaturterm 
verif iziert • 



1 
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Zusatzlich wird die Authentif ikation der ersten Computerein- 
'RTeit' U gegenuB"ef~der"~zwertren^ durch den Si- 

gnaturterm in der dritten Nachricht M3 gewahrleistet , der die 
Zufallszahl r enthalt, durch deren Verwendung auch garantiert 
5 wird/ dali die dritte Nachricht M3 tatsachlich aktuell von der 
ersten Computereinheit U gesendet wurde. 

Wenn fur das Verfahren temporare Benutzeridentitaten vorgese- 
hen werden, so wird das im vorigen beschriebene Verfahren um 
10 einige Verf ahrensschritte erweitert. 

In der zweiten Computereinheit N wird fiir die erste Compu- 
I tereinheit U eine neue temporare IdentitatsgroBe TMUIN gebil- 

det, die der ersten Computereinheit U im weiteren zugewiesen 
15 wird. Dies kann z. B, durch Generierung einer Zufallszahl 

Oder durch Tabellen, in denen mogliche IdentitatsgroiJen abge- 
speichert sind, durchgefuhrt werden, Aus der neuen temporaren 
IdentitatsgroBe TMUIN der ersten Computereinheit U wird in 
der zweiten Computereinheit N ein fiinfter verschliisselter 
20 Term VT5 gebildet, indem die neue temporare Identitatsgroiie 
TMUIN der ersten Computereinheit U mit dem Sitzungsschltlssel 
K unter Verwendung der Verschltisselungsf unktion Enc ver- 
schltisselt wird. 

^5 In diesem Fall weist die zweite Nachricht M2 zusatzlich min- 
f destens den funften verschlusselten Term VT5 auf . Der ftinfte 
verschltisselte Term VT5 wird dann in der ersten Computerein- 
heit U entschltisselt . Nun ist die neue temporare Identitats- 
groBe TMUIN der ersten Computereinheit U in der ersten Compu- 
30 tereinheit U verfugbar. 

Damit der zweiten Computereinheit N auch gewahrleistet wird, 
daii die erste Computereinheit U die neue temporare Identi- 
tatsgrofie TMUIN korrekt empfangen hat, weist die dritte Ein- 
35 gangsgroBe fur die erste Hash-Funktion hi oder fur die zweite 
Hash-Funktion h2 zusatzlich mindestens die neue temporare 
Identitatsgroiie TMUIN der ersten Computereinheit U auf. 
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Im weiteren werden einige Alternativen der oben beschriebenen 
Ausf uhrungsbeispiele auf gezeigt : 

Die Erfindung beschrankt sich nicht auf ein Mobilf unksystem 
und somit auch nicht auf einen Benutzer eines Mobilfunksy- 
stems und das Netz, sondern kann in alien Bereichen angewen- 
det werden, in denen eixl kryptographischer Schlusselaustausch 
zwischen zwei Koinniunikationspartnern benotigt wird. Dies kann 
z.B. in einer Kommunikationsbeziehung zwischen zwei Rechnern, 
die Daten in verschltisselter Form austauschen wollen, der 
Fall sein. Ohne Beschrankung der Allgemeingiiltigkeit wurde 
oben ein erster Kommunikationspartner als erste Computerein-i 
heit U und ein zweiter Kommunikationspartner als zweite Com- 
putereinheit N bezeichnet. 
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Patentanspruche 



1. Verfahren zioiti rechnergestutzten Austausch kryptographi- 
scher Schlussel zwischen einer ersten Computereinheit (U) und 
5 einer zweiten Computereinheit (N) , 

- bei dem aus einer ersten Zufallszahl (t) mit Hilfe eines 
erzeugenden Elements (g) einer endlichen Gruppe in der er- 
sten Computereinheit (U) ein erster Wert (g^) gebildet 
wird, 

10 - bei dem eine erste Nachricht (Ml) von der ersten Compu- 
tereinheit (U) an die zweite Computereinheit (N) ubertragen 
wird/ wobei die ersten Nachricht (Ml) mindestens den ersten 

i Wert (gt) aufweist, 

- bei dem in der zweiten Computereinheit (N) ein Sitzungs- 

15 schlussel (K) mit Hilfe einer ersten Hash-Funktion (hi) ge- 
bildet wird, wobei eine erste Eingangsgroiie der ersten 
Hash-Funktion (hi) mindestens einen ersten Term aufweist, 
der gebildet wird durch eine Exponentiation des ersten 
Werts (g^) mit einem geheimen Netzschliissel (s), 

20 - bei dem in der ersten Computereinheit (U) der Sitzungs- 
schlussel (K) gebildet wird mit Hilfe der ersten Hash- 
Funktion (hi), wobei eine zweite EingangsgroiJe der ersten 
Hash-Funktion (hi) mindestens einen zweiten Term aufweist, 
der gebildet wird durch eine Exponentiation eines offentli- 

25 Chen Netzschlussels (g^) mit der ersten Zufallszahl (t) , 

f - bei dem in der ersten Computereinheit (U) mit Hilfe einer 
zweiten Hash-Funktion (h2) oder der ersten Hash-Funktion 
(hi) eine vierte EingangsgroBe gebildet wird, wobei eine 
dritte Eingangsgrolie fur die erste Hash-Funktion (hi) oder 

30 fur die zweite Hash-Funktion (h2) zur Bildung der vierten 

Eingangsgrofie eine oder weitere Groiien aufweist, aus denen 
auf den Sitzungsschltissel eindeutig ruckgeschlossen werden 
kann . 

- bei dem in der ersten Computereinheit (U) ein Signaturterm 
35 aus mindestens der vierten Eingangsgrolie gebildet wird un- 

ter Anwendung einer ersten Signaturf unktion (Sigy) / 
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- bei dem eine dritte Nachricht (M3) von der ersten Compu- 
"tereinHeTf ( U ) an die 2wer€e~ComputereiniTeT1: ( N ) ub e r t f a g e ri ' 
wird, wobei die dritte Nachricht (M3) mindestens den Signa- 
turterm der ersten Computereinheit (U) aufweist, und 
5 - bei dem in der zweiten Computereinheit (N) der Signaturterm 
verifiziert wird. 



2, Verfahren nach Anspruch 1, 

bei dem der geheime Net zschliissel und/oder der offentliche 
10 Netzschliissel langlebige Schliissel ist/sind. 

3, Verfahren nach Anspruch 1 oder 2, 

bei dem die dritte EingangsgroBe mehrere GroBen aufweist, au 
denen auf den Sitzungsschlussel eindeutig ruckgeschlossen 
15 werden kann. 

4, Verfahren nach einem der Anspruche 1 bis 3, 

bei dem die GroBe bzw. die GroBen mindestens zumindest den 
ersten Wert (g^) und/oder den offentlichen Netzschliissel (g^) 
20 enthalt bzw. enthalten. 

5, Verfahren nach einem der T^spriiche 1 bis A, 

- bei dem die erste Nachricht (Ml) eine Identitatsangabe 
(id^j^) einer Zertif izierungscomputereinheit (CA) , die ein 

25 Netzzertif ikat (CertN) oder eine Kette von Zertif ikaten, 

deren letztes das Netzzertif ikat (CertN) ist, liefert, das 
oder die von der ersten Computereinheit (U) verifiziert 
werden kann, aufweist, 

- bei dem eine zweite Nachricht (M2) von der zweiten Compu- 
30 tereinheit (N) an die erste Computereinheit (U) iibertragen 

wird, wobei die zweite Nachricht (M2) mindestens das Netz- 
zertifikat (CertN) oder die Kette von Zertif ikaten, deren 
letztes das Netzzertif ikat (CertN) ist, aufweist, und 

- bei dem in der ersten Computereinheit (U) das Netzzertifi- 
35 kat (CertN) oder die Kette von Zertif ikaten, deren letztes 

das Netzzertif ikat (CertN) ist, verifiziert wird. 
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6. Verfahren nach Anspruch 5, 

"""^^be"! ~dm~~e ine~lir i" 1 1 e~"N'^^^ " (M3") vDn~d'e r~"e r s t en Compu- 

tereinheit (U) an die zweite Computereinheit (N) tlbertragen 
wird, wobei die dritte Nachricht (M3) ein Benutzerzertif i- 
5 kat (CertU) oder eine Kette von Zertif ikaten, deren letztes 

das Benutzerzertif ikat (CertU) ist, aufweist, 

- bei dem in der zweiten Computereinheit (N) das Benutzerzer- 
tifikat (CertU) oder die Kette von Zertif ikaten, deren 
letztes das Benutzerzertif ikat (CertU) ist, verifiziert 

0 wird. 

7. Verfahren nach einem der Anspriiche 1 bis 6, 

- bei dem die erste Nachricht (Ml) eine Identitatsgroiie 
(IMUI) der ersten Computereinheit (U) und eine Identitats- 

5 angabe (id^;^) einer Zertif izierungscomputereinheit (CA) , 
die der ersten Computereinheit (U) ein Netzzertif ikat 
(CertN) liefert, das von der ersten Computereinheit (U) ve- 
rifiziert werden kann, aufweist, 

- bei dem eine vierte Nachricht (M4) von der zweiten Compu- 
0 tereinheit (N) an die Zertif izierungscomputereinheit (CA) 

tibertragen wird, wobei die vierte Nachricht (M4) mindestens 
den ersten Wert (g^) als EingangsgroJie aufweist, 

- bei dem eine funfte Nachricht (M5) , die mindestens das 
Netzzertif ikat (CertN) oder eine Zertif ikatskette, deren 

5 letztes Glied das Netzzertif ikat (CertN) ist, oder das Be- 

nutzerzertif ikat (CertU) Oder eine Zertif ikatskette, deren 
letztes Glied das Benutzerzertif ikat (CertU) ist, aufweist, 
von der Zertif izierungscomputereinheit (CA) zu der zweiten 
Computereinheit (N) ubertragen wird, 

0 

8. Verfahren nach einem der Anspriiche 1 bis 7, 

- bei dem eine vierte Nachricht (M4) von der zweiten Compu- 
tereinheit (N) an die Zertif izierungscomputereinheit (CA) 

5 ubertragen wird, wobei die vierte Nachricht (M4) mindestens 
den of fentlichen Net zschlussel (g^) , den ersten Wert (gt) , 
die Identitatsgrofie (IMUI) der ersten Computereinheit (U) 
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als Eingangsgrofie aufweist und wobei eine AusgangsgroBe ei- 
neF^YxTtenT'HaTsJi^Fun einer zwei- 

ten Signaturfunktion (Sigj^f) signiert wird, 

bei dem in der Zertif izierungscomputereinheit (CA) der er- 
ste signierte Term verifiziert wird, 

bei dem in der Zertif izierungscomputereinheit (CA) ein 
dritter Term gebildet wird/ der mindestens den ersten Wert 
(gt) , den of fentlichen Netzschltissel (g^) und eine Identi- 
tatsangabe {idjg) der zweiten Computereinheit (N) aufweist, 
bei dem in der Zertif izierungscomputereinheit (CA) unter 
Verwendung einer vierten Hash-Funktion (h4) ein Hash-Wert 
iiber den dritten Term gebildet wird, 

bei dem in der Zertif izierungscomputereinheit (CA) der 
Hash-Wert liber den dritten Term unter Verwendung einer 
dritten Signaturfunktion (Sig^A) signiert wird, 
bei dem in der Zertif izierungscomputereinheit (CA) ein 
Netzzertif ikat (CertN) gebildet wird, das mindestens den 
dritten Term und den signierten Hash-Wert des dritten Terms 
aufweist, 

bei dem in der Zertif izierungscomputereinheit (CA) auf ei- 
nen funften Term der mindestens die Identitatsangabe (±di^) 
der zweiten Computereinheit (N) und ein Benutzerzertif ikat 
(CertU) aufweist, eine vierte Hash-Funktion (h4) angewendet 
wird, 

bei dem der Hash-Wert des funften Terms durch Verwendung 
der dritten Signaturfunktion (Sig^A) dem geheimen Zer- 

tif izierungsschlussel (cs) signiert und das Ergebnis den 
zweiten signierten Term darstellt, 

bei dem eine fiinfte Nachricht (M5) , die mindestens das 
Netzzertif ikat (CertN) , den funften Term und den zweiten 
signierten Term aufweist, von der Zertif izierungscompu- 
tereinheit (CA) zu der zweiten Computereinheit (N) ubertra- 
gen wird, 

bei dem in der zweiten Computereinheit (N) das Netzzertifi- 
kat (CertN) und der zweite signierte Term verifiziert wer- 
den. 
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- bei deia in der zweiten Computereinheit (N) ein vierter 
Term; aer^mindes^t ens derr~o'f f efi trricKeri~Ne't z s cirrus s el (g^) 
und den signierten Hash-Wert des dritten Terms aufweist, 
gebildet wird, 

5 - bei dem eine zweite Nachricht (M2) von der zweiten Compu- 
tereinheit (N) an die erste Computereinheit (U) iibertragen 
wird, wobei die zweite Nachricht (M2) mindestens den vier- 
ten Term aufweist, und 

- bei dem in der ersten Computereinheit (U) das Netzzertifi- 
0 kat (CertN) verifiziert wird. 

9. Verfahren nach einem der Anspriiche 1 bis 8, 

- bei dem die erste Nachricht (Ml) eine Identitatsgrofie 
(IMUI) der ersten Computereinheit (U) und eine Identitats- 

5 angabe (id^j^) einer Zertif izierungscomputereinheit (CA) , 
die der ersten Computereinheit (U) ein Netzzertif ikat 
(CertN) .Oder eine Kette von Zertif ikaten, deren letztes das 
Netzzertif ikat (CertN) ist/ liefert, das oder die von der 
ersten Computereinheit (U) verifiziert werden kann oder 

0 konnen, aufweist, 

- bei dem eine vierte Nachricht (M4) von der zweiten Compu- 
tereinheit (N) an die Zertif izierungscomputereinheit (CA) 
iibertragen wird, wobei die vierte Nachricht (M4) mindestens 
ein Zertif ikat auf den of fentlichen Netzschliissel (g^) , den 

5 ersten Wert (g^)und die Identitatsgroiie (IMUI) der ersten 

Computereinheit (U) aufweist, 

- bei dem in der Zertif izierungscomputereinheit (CA) ein 
dritter Term gebildet wird, der mindestens den offentlichen 
Netzschliissel (g2)oder eine GroBe, die den offentlichen 

0 Netzschliissel (g^) eindeutig bestimmt, aufweist, 

- bei dem in der Zertif izierungscomputereinheit (CA) unter 
Verwendung einer vierten Hash-Funktion (h4) ein Hash-Wert 
iiber den dritten Term gebildet wird, 

- bei dem in der Zertif izierungscomputereinheit (CA) der 
5 Hash-Wert iiber den dritten Term unter Verwendung einer 

dritten Signaturfunktion (SigcA) signiert wird. 
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- bei dem eine funfte Nachricht (M5) , die mindestens den si- 
gfrrer^fen~Ha^H^WeFir^^ t / von'de f 
Zertif izierungscomputereinheit (CA) zu der zweiten Compu- 
tereinheit (N) ubertragen wird, 

5 - bei dem in der zweiten Computereinheit (N) der signierte 
Hash-Wert uber den dritten Term verifiziert wird, 

- bei dem eine zweite Nachricht (M2) von der zweiten Compu- 
tereinheit (N) an die erste Computereinheit (U) ubertragen 
wird, wobei die zweite Nachricht (M2) mindestens den si- 

10 gnierten Hash-Wert uber den dritten Term aufweist, und 

- bei dem in der ersten Computereinheit (U) der signierte 
Hash-Wert uber den dritten Term verifiziert wird. 

10. Verfahren nach Anspruch 9, 

15 bei dem der dritte Term einen offentlichen Benutzersignatur- 
schlussel (KU) oder eine Grolie, die den Benutzersignatur- 
schlussel (KU) eindeutig bestimmt, aufweist, 

11. Verfahren nach Anspruch 9 oder 10/ 

20 bei dem die funfte Nachricht (M5) sowie die zweite Nachricht 
(M2) mindestens eine Kette von Zertif ikaten aufweist. 

12. Verfahren nach Anspruch 8, 

bei dem der funfte Term einen Zeitstempel (TS) aufweist. 

25 

13. Verfahren nach einem der Anspriiche 9 bis 12, 

bei dem der dritte Term einen Zeitstempel (TS) aufweist. 



14. Verfahren nach einem der Anspruche 7 bis 13, 
30 - bei dem in der ersten Computereinheit (U) vor Bildung der 
ersten Nachricht (Ml) ein Zwischenschlussel (L) gebildet 
wird, indem ein offentlicher Schlusselvereinbarungsschliis- 
sel (g^) mit der ersten Zufallszahl (t) potenziert wird, 
- bei dem in der ersten Computereinheit (U) vor Bildung der 
35 ersten Nachricht (Ml) aus der IdentitatsgroBe (IMUI) der 

ersten Computereinheit (U) ein zweiter verschlusselter Term 
(VT2) gebildet wird, indem die Identitatsgroiie (IMUI) mit 
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dem Zwischenschlussel (L) unter Anwendung einer Verschlus- 
s'elun"gsfunktion™(Enc)""vers^^^^^ wird; 

- bei dem die erste Nachricht (Ml) anstatt der Identitatsgro- 
lie (IMUI) der ersten Computereinheit (U) den zweiten ver- 

5 schltisselten Term (VT2) aufweist, 

- bei dem die vierte Nachricht (M4) anstatt der Identitats- 
grofie (IMUI) der ersten Computereinheit (U) den zweiten ver- 
schltisselten Term (VT2) aufweist. 

0 15. Verfahren nach einem der Anspruche 7 bis 14, 

bei dem in der fiinften Nachricht (M5) das Netzzertif ikat 
(CertN) Oder eine Zertif ikatskette, deren letztes Glied das 
Netzzertif ikat (CertN) ist, oder das Benutzerzertif ikat 
(CertU) Oder eine Zertif ikatskette, deren letztes Glied das 

5 Benutzerzertif ikat (CertU) ist, mit L verschlusselt ist. 

16. Verfahren nach einem der Anspruche 7 bis 15, 
bei dem in der Zertif izierungscomputereinheit (CA) mindestens 
eine der GroJien, die Identitatsangabe (idj^f) der zweiten Com- 
0 putereinheit (N) , die Identitatsgrofie (IMUI) der ersten Compu- 
tereinheit (U) , der offentliche Netzschltissel (g^) , das Netz- 
zertifikat (CertN) oder das Benutzerzertif ikat (CertU) anhand 
einer Revokationsliste iiberpruft wird. 

5 17. Verfahren nach einem der Anspruche 1 bis 16, 

- bei dem die erste Nachricht (Ml) mindestens eine alte tem- 
porare Identitatsgrofie (TMUIO) der ersten Computereinheit 
(U) aufweist, 

- bei dem in der zweiten Computereinheit (N) , nachdem die er- 
0 ste Nachricht (Ml) empfangen wurde und bevor die zweite 

Nachricht (M2) gebildet wird, fiir die erste Computereinheit 
(U) eine neue temporare Identitatsgrofie (TMUIN) gebildet 
wird, 

- bei dem aus der neuen temporaren Identitatsgrofie (TMUIN) 

5 der ersten Computereinheit (U) ein funfter verschlusselter 
Term (VT5) gebildet wird, in dem die neue temporare Identi- 
tatsgrofie (TMUIN) der ersten Computereinheit (U) mit dem 
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Sitzungschlussel (K) unter Anwendung der Verschlusselungs- 
funlcirion ^(ErTc) vers clrruss e rt~lvird7 

- bei dem die zweite Nachricht (M2) mindestens den funften 
verschlusselten Term (VT5) aufweist, 

5 - bei dem in der ersten Computereinheit (U) , nachdem die 

zweite Nachricht (M2) empfangen wurde und bevor die vierte 
EingangsgroJie gebildet wird, der fiinfte verschlusselte Term 
(VT5) entschltisselt wird, 

- bei dem die dritte EingangsgroBe fur die erste Hash- 

10 Funktion (hi) oder fur die zweite Hash-Funktion (h2) zur 

Bildung der vierten EingangsgroJie mindestens die neue tem- 
porare Identitatsgrofie (TMUIN) der ersten Computereinheit 
(U) aufweist, und I 

- bei dem die dritte Nachricht (M3) nicht die Identitatsgrofle 
15 (IMUI) der ersten Computereinheit (U) aufweist. 

18. Verfahren nach einem der T^spruche 1 bis 17, 

- bei dem in der zweiten Computereinheit (N) eine Information 
zu dem Sitzungsschlussel (K) enthaltende Antwort (A) gebil- 

20 det wird, 

- bei dem eine zweite Nachricht (M2) von der zweiten Compu- 
tereinheit (N) an die erste Computereinheit (U) iibertragen 
wird, wobei die zweite Nachricht (M2) mindestens die Ant- 
wort (A) aufweist, und 

25 - bei dem in der ersten Computereinheit (U) der Sitzungs- a 
schlussel (K) anhand der Antwort (A) uberpruft wird. \ 

19. Verfahren nach einem der Anspruche 1 bis 18, 

bei dem die dritte Nachricht (M3) eine IdentitatsgroJie (IMUI) 
30 der ersten Computereinheit (U) aufweist. 

20. Verfahren nach einem der Anspruche 1 bis 19, 

- bei dem in der zweiten Computereinheit (N) die erste Ein- 
gangsgroBe der ersten Hash-Funktion (hi) mindestens eine 

35 zweite Zufallszahl (r) aufweist, 

- bei dem die zweite Nachricht (M2) die zweite Zufallszahl 
(r) aufweist, und 
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- bei dem in der ersten Computereinheit (U) die zweite Ein- 
g^angsgroi3e~^e^r""^^ (hr) mindes'tens die 
zweite Zufallszahl (r) aufweist. 

21. Verfahren nach einem der Anspriiche 1 bis 20, 

bei dem die Grolie bzw. die GroJben wie in Anspruch 3 die zwei- 
te Zufallszahl (r) enthalt bzw, enthalten. 

22. Verfahren nach einem der Anspriiche 1 bis 21, 

- bei dem in der ersten Computereinheit (U) vor Bildung der 
dritten Nachricht (M3) aus der Identitatsgrofie (IMUI) der 
ersten Computereinheit (U) ein zweiter verschlusselter Term 
(VT2) gebildet wird, in dem mindestens die Identitatsgrolie 
(IMUI) mit dem Sitzungsschlussel (K) unter Anwendung der 
Verschlusselungsfunktion (Enc) verschlusselt wird, 

- bei dem die dritte Nachricht (M3) den zweiten verschlussel- 
ten Term (VT2) aufweist, und 

- bei dem in der zweiten Computereinheit (N) , nachdem die 
dritte Nachricht (M3) empfangen wurde, der zweite ver- 
schlusselte Term (VT2) entschllisselt wird. 

23. Verfahren nach einem der Anspriiche 1 bis 22, 

- bei dem die zweite Nachricht {M2) ein optionales erstes Da- 
tenfeld (datl) aufweist und 

- bei dem die dritte Eingangsgrofie fiir die erste Hash- 
Funktion (hi) oder fur die zweite Hash-Funktion (h2) zur 
Bildung der vierten Eingangsgrofie mindestens das optionale 
erste Datenfeld (datl) aufweist. 

24. Verfahren nach einem der Anspriiche 1 bis 23, 

- bei dem in der ersten Computereinheit (U) vor Bildung der 
dritten Nachricht (M3) ein dritter verschlusselter Term 
(VT3) gebildet wird, indem mindestens ein optionales zwei- 
tes Datenfeld (dat2) mit dem Sitzungsschlussel (K) unter 
Anwendung der Verschliisselungsf unktion (Enc) verschliisselt 
wird. 
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- bei dem die dritte Nachricht (M3) mindestens den dritten 
' verscKrusserten~Term ^(VT3) "'auTwe"rs"ir7' und 

- bei dem in der zweiten Computereinheit (N) , nachdem die 
dritte Nachricht (M3) empfangen wurde, der dritte ver- 

5 schlusselte Term (VT3) entschlusselt wird. 

25. Verfahren nach einem der Anspriiche 1 bis 24, 

- bei dem in der ersten Computereinheit (U) vor Bildung der 
dritten Nachricht (M3) ein erster verschlusselter Term 

10 (VTl) gebildet wird, indem mindestens der Signaturterm un- 

ter Anwendung der Verschltisselungsf unktion (Enc) verschlus- 
selt wird, 

- bei dem die dritte Nachricht (M3) den ersten verschlussel-l 
ten Term (VTl) aufweist, und 

15 - bei dem in der zweiten Computereinheit (N) , nachdem die 

dritte Nachricht (M3) empfangen wurde und bevor der Signa- 
turterm verifiziert wird, der erste verschliisselte Term 
(VTl) entschlusselt wird. 

20 26, Verfahren nach einem der Anspruche 1 bis 25, 

bei dem in der zweiten Computereinheit (N) eine Antwort (A) 
gebildet wird, indem eine Konstante (const) , sowie eventuell 
weitere Grofien, die in der zweiten Computereinheit (N) und 
in der ersten Computereinheit (U) bekannt sind, mit dem Sit- 

25 zungsschliissel (K) unter Anwendung der Verschlusselungsf unk- i 
tion (Enc) verschlusselt werden. " 

27. Verfahren nach einem der Anspruche 1 bis 26, 
bei dem in der ersten Computereinheit (U) die Antwort (A) 
30 uberprtift wird, indem eine Konstante (const) , sowie eventuell 
weitere GroBen, mit dem Sitzungsschlussel (K) unter Anwendung 
der Verschliisselungsfunktion (Enc) verschlusselt wird und das 
Ergebnis mit der Antwort (A) verglichen wird. 

35 28. Verfahren nach einem der Anspruche 1 bis 26, 

bei dem in der ersten Computereinheit (U) die Antwort (A) 
uberprtift wird, indem die Antwort (A) mit dem Sitzungsschlus- 
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sel (K) unter Anwendung der Verschlusselungsf unktion (Enc) 
"entTsclrrusse'rir^w^^ ) 
mit einer Konstante (const) , sowie eventuell weiteren GroBen, 
verglichen wird. 

5 

29. Verfahren nach einem der Anspruche 1 bis 28, 

- bei dem in der zweiten Computereinheit (N) eine Antwort (A) 
gebildet wird, indem eine dritte Hash-Funktion (h3) ange- 
wendet wird auf eine EingangsgroBe, die mindestens den Sit- 

0 zungsschlussel (K) aufweist, und 

- bei dem in der ersten Computereinheit (U) die Antwort (A) 
uberpriift wird, indem die dritte Hash-Funktion (h3) ange- 
wendet wird auf die EingangsgroBe, die mindestens den Sit- 
zungsschlussel (K) aufweist, und das Ergebnis mit der Ant- 

5 wort (A) verglichen wird. 

30. Verfahren nach einem der Anspruche 1 bis 29, 

bei dem die dritte Nachricht {M3) mindestens ein optionales 
zweites Datenfeld (dat2) aufweist. 

0 

31. Verfahren nach einem der Anspruche 1 bis 30, 

bei dem die erste Computereinheit (U) durch ein mobiles Kom- 
munikationsendgerat und/oder die zweite Computereinheit (N) 
durch eine Authentif izierungseinheit in einem Mobil- 
5 Kommunikationsnetz gebildet wird/werden. 

32. Anordnung zum rechnergesttitzten Austausch kryptographi- 
scher Schlussel zwischen einer ersten Computereinheit (U) und 
einer zweiten Computereinheit (N) , bei der die erste Compu- 

0 tereinheit (U) und die zweite Computereinheit (N) derart ein- 
gerichtet sind, daB folgende Verf ahrensschritte durchfiihrbar 
sind: 

- aus einer ersten Zufallszahl (t) wird mit Hilfe eines er- 
zeugenden Elements (g) einer endlichen Gruppe in der ersten 

5 Computereinheit (U) ein erster Wert (g^) gebildet, 

- eine erste Nachricht (Ml) wird von der ersten Computerein- 
heit (U) an die zweite Computereinheit (N) ubertragen, wo- 
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bei die ersten Nachricht (Ml) mindestens den ersten Wert 

" ' (~g^') alTfweTs'tri^ 

- in der zweiten Computereinheit (N) wird ein Sitzungsschlus- 
sel (K) mit Hilfe einer ersten Hash-Funktion (hi) gebildet, 

5 wobei eine erste Eingangsgroiie der ersten Hash-Funktion 

(hi) mindestens einen ersten Term aufweist, der gebildet 
wird durch eine Exponentiation des ersten Werts (g^) mit 
einem geheimen Netzschltissel (s)/ 

- in der ersten Computereinheit (U) wird der Sitzungsschliis- 
10 sel (K) gebildet mit Hilfe der ersten Hash-Funktion (hi), 

wobei eine zweite Eingangsgroiie der ersten Hash-Funktion 
(hi) mindestens einen zweiten Term aufweist, der gebildet 
wird durch eine Exponentiation eines offentlichen Netz- I 
schliissels (g^) mit der ersten Zufallszahl (t), 

15 - in der ersten Computereinheit (U) wird mit Hilfe einer 

zweiten Hash-Funktion {h2) oder der ersten Hash-Funktion 
(hi) eine vierte Eingangsgroiie gebildet wird, wobei eine 
dritte Eingangsgroiie fur die erste Hash-Funktion (hi) oder 
fiir die zweite Hash-Funktion (h2) zur Bildung der vierten 

20 Eingangsgroiie eine oder weitere Groiien aufweist, aus denen 

auf den Sit zungsschliissel eindeutig riickgeschlossen werden 
kann. 

- in der ersten Computereinheit (U) wird ein Signaturterm aus 
mindestens der vierten Eingangsgroiie gebildet unter Anwen- 

25 dung einer ersten Signaturf unktion (Sigu) / i 

- eine dritte Nachricht (M3) wird von der ersten Computerein4 
heit (U) an die zweite Computereinheit (N) ubertragen, wo- 
bei die dritte Nachricht (M3) mindestens den Signaturterm 
der ersten Computereinheit (U) aufweist, und 

30 - in der zweiten Computereinheit (N) wird der Signaturterm 
verif iziert . 

33. Anordnung nach Anspruch 31, 

bei dem der geheime Netzschlussel und/oder der offentliche 
35 Netzschlussel langlebige Schlussel ist/sind. 

34. Anordnung nach Anspruch 32 oder 33, 
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bei der die erste Computereinheit (U) und die zweite Compu- 
'terei"nKeT1! (N) de r a r ir~ei n ge r i~cfrt^ tT" sTnd7"" ciafi di^dritte Ein- 
gangsgrofie mehrere GroBen aufweist, aus denen auf den Sit- 
zungsschliissel eindeutig ruckgeschlossen werden kann, 

5 

35. Anordnung nach einem der Ansprlice 32 bis 34, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi die GroBe bzw, 
die GroBen mindestens zumindest den ersten Wert (gt) und/oder 
0 den offentlichen Netzschlussel (g^) enthalt bzw. enthalten. 

36. Anordnung nach einem der Anspriiche 32 bis 35, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daB folgende Verfah- 
5 rensschritte durchfiihrbar sind: 

- die erste Nachricht (Ml) weist eine Identitatsangabe (id^;^) 
einer Zertif izierungscomputereinheit (CA) , die ein Netzzer- 
tifikat (CertN) oder eine Kette von Zertif ikaten, deren 
letztes das Netzzertif ikat (CertN) ist, liefert, das oder 

0 die von der ersten Computereinheit (U) verifiziert werden 
kann, auf, 

- eine zweite Nachricht (M2) wird von der zweiten Compu- 
tereinheit (N) an die erste Computereinheit (U) ubertragen, 
wobei die zweite Nachricht (M2) mindestens das Netzzertif i- 

5 kat (CertN) oder die Kette von Zertif ikaten, deren letztes 
das Netzzertif ikat (CertN) ist, aufweist, und 

- in der ersten Computereinheit (U) wird das Netzzertif ikat 
(CertN) Oder die Kette von Zertif ikaten, deren letztes das 
Netzzertif ikat (CertN) ist, verifiziert wird. 

0 

37. Anordnung nach Anspruch 36, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daB folgende Verfah- 
rensschritte durchfiihrbar sind: 
5 - eine dritte Nachricht (M3) wird von der ersten Computerein- 
heit (U) an die zweite Computereinheit (N) ubertragen, wo- 
bei die dritte Nachricht (M3) ein Benutzerzertif ikat 
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(CertU) Oder eine Kette von Zertif ikaten, deren letztes das 
" genu t z e r z e r tT"f Tlcat ^[ CertU) iLsf, aiTfweis'tr; 

- in der zweiten Computereinheit (N) wird das Benutzerzerti- 
fikat (CertU) oder die Kette von Zertif ikaten, deren letz- 

5 tes das Benutzerzertif ikat (CertU) ist, verifiziert. 

38. Anordnung nach einem der Anspruche 32 bis 37, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daii folgende Verfah- 
10 rensschritte durchfuhrbar sind: 

- die erste Nachricht (Ml) weist eine IdentitatsgroBe (IMUI) 
der ersten Computereinheit (U) und eine Identitatsangabe 
(idcji^) einer Zertif izierungscomputereinheit (CA) , die der I 
ersten Computereinheit (U) ein Netzzertif ikat (CertN) lie- 

15 fert/ das von der ersten Computereinheit (U) verifiziert 

werden kann, auf , 

- eine vierte Nachricht (M4) wird von der zweiten Compu- 
tereinheit (N) an die Zertif izierungscomputereinheit (CA) 
ubertragen, wobei die vierte Nachricht (M4 ) mindestens den 

20 ersten Wert (g"^) als EingangsgroBe aufweist, 

- eine fiinfte Nachricht (M5) , die mindestens das Netzzertifi- 
kat (CertN) oder eine Zertif ikatskette, deren letztes Glied 
das Netzzertif ikat (CertN) ist, oder das Benutzerzertif ikat 
(CertU) Oder eine Zertif ikatskette, deren letztes Glied das 

25 Benutzerzertif ikat (CertU) ist, aufweist, wird von der Zer-i 
tif izierungscomputereinheit (CA) zu der zweiten Compu- \ 
tereinheit (N) ubertragen, 

39. Anordnung nach einem der Anspruche 32 bis 38, 

30 bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daB folgende Verfah- 
rensschritte durchfuhrbar sind: 

- eine vierte Nachricht (M4) wird von der zweiten Compu- 
tereinheit (N) an die Zertif izierungscomputereinheit (CA) 

35 ubertragen, wobei die vierte Nachricht (M4) mindestens den 
offentlichen Netzschlussel (g^) , den ersten Wert (g^) , die 
Identitatsgroiie (IMUI) der ersten Computereinheit (U) als 
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EingangsgroBe aufweist und wobei eine Ausgangsgrofie einer 
-dr rt ten—H a-sh— Funicti on — un te r— Ve r wendung e ine r- z we i ten- - 
Signaturfunktion (Sigj^) signiert wird, 

in der Zertif izierungscomputereinheit (CA) wird der erste 
signierte Term verifiziert, 

in der Zertif izierungscomputereinheit (CA) wird ein dritter 
Term gebildet, der mindestens den ersten Wert (g"*^) , den of- 
fentlichen NetzschlUssel (g^) und eine Identitatsangabe 
(idjg) der zweiten Computereinheit (N) aufweist, 
in der Zertif izierungscomputereinheit (CA) wird unter Ver- 
wendung einer vierten Hash-Funktion (h4) ein Hash-Wert iiber 
den dritten Term gebildet, 

in der Zertif izierungscomputereinheit (CA) wird der Hash- 
Wert liber den dritten Term unter Verwendung einer dritten 
Signaturfunktion (SigQ^) signiert, 

in der Zertif izierungscomputereinheit (CA) wird ein Netz- 
zertifikat (CertN) gebildet, das mindestens den dritten 
Term und den signierten Hash-Wert des dritten Terms auf- 
weist, 

in der Zertif izierungscomputereinheit (CA) wird auf einen 
funften Term, der mindestens die Identitatsangabe (idjj) der 
zweiten Computereinheit (N) und ein Benutzerzertif ikat 
(CertU) aufweist, eine vierte Hash-Funktion (h4) angewen- 
det, 

der Hash-Wert des funften Terms wird durch Verwendung der 
dritten Signaturfunktion (Sig^ji,) mit dem geheimen Zertifi- 
zierungsschliissel (cs) signiert und das Ergebnis stellt den 
zweiten signierten Term dar, 

eine funfte Nachricht (M5) , die mindestens das Netzzertifi- 
kat (CertN) , den funften Term und den zweiten signierten 
Term aufweist, wird von der Zertif izierungscomputereinheit 
(CA) zu der zweiten Computereinheit (N) ubertragen, 
in der zweiten Computereinheit (N) werden das Netzzertifi- 
kat (CertN) und der zweite signierte Term verifiziert, 
in der zweiten Computereinheit (N) wird ein vierter Term, 
der mindestens den offentlichen Net zschliissel (g^) und den 
signierten Hash-Wert des dritten Terms aufweist, gebildet. 
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- eine zweite Nachricht (M2) wird von der zweiten Compu- 
-tereinhert — (ISf-) — an—dxe— erste"-eoTnputere±nh-e±t — MJt" ubertragenv 

wobei die zweite Nachricht (M2) mindestens den vierten Term 
aufweist, und 

- in der ersten Computereinheit (U) wird das Netzzertif ikat 
(CertN) verif iziert . 

40. Anordnung nach eineiti der Anspriiche 33. bis 39, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daJi folgende Verfah- 
rensschritte durchfuhrbar sind: 

- die erste Nachricht (Ml) weist eine IdentitatsgroBe (IMUI) 
der ersten Computereinheit (U) und eine Identitatsangabe m 
(id^;^) einer Zertif izierungscomputereinheit (CA) , die der 
ersten Computereinheit (U) ein Netzzertif ikat (CertN) oder 
eine Kette von Zertif ikaten, deren letztes das Netzzertifi- 
kat (CertN) ist, liefert, das oder die von der ersten Com- 
putereinheit (U) verif iziert werden kann oder konnen, auf , 

- eine vierte Nachricht {M4) wird von der zweiten Compu- 
tereinheit (N) an die Zertif izierungscomputereinheit (CA) 
iibertragen, wobei die vierte Nachricht (M4) mindestens ein 
Zertifikat auf den offentlichen Netzschliissel (g^), den er- 
sten Wert (gt)und die IdentitatsgroBe (IMUI) der ersten 
Computereinheit (U) aufweist, 

- in der Zertif izierungscomputereinheit (CA) wird ein drittei^ 
Term gebildet, der mindestens einen offentlichen Netz- ^ 
schlussel (g^) oder eine GroBe, die den offentlichen Netz- 
schliissel (g^) eindeutig bestimmt, aufweist, 

- in der Zertif izierungscomputereinheit (CA) wird unter Ver- 
wendung einer vierten Hash-Funktion (h4) ein Hash-Wert uber 
den dritten Term gebildet, 

- in der Zertif izierungscomputereinheit (CA) wird der Hash- 
Wert uber den dritten Term unter Verwendung einer dritten 
Signaturfunktion (SigcA) signiert, - 

- eine fiinfte Nachricht (M5) , die mindestens den signierten 
Hash-Wert uber den dritten Term aufweist, wird von der Zer- 



98 P 1764 



55 

tif izierungscomputereinheit (CA) zu der zweiten Compu- 
^ter^i' nfirei t ( N )~u&e r t r ag e n; 

- in der zweiten Computereinheit (N) wird der signierte Hash 
Wert Uber den dritten Term verifiziert, 

5 - eine zweite Nachricht (M2) wird von der zweiten Compu- 
tereinheit (N) an die erste Computereinheit (U) libertragen 
wobei die zweite Nachricht (M2) mindestens den den signier 
ten Hash-Wert uber den dritten Term aufweist, und 

- in der ersten Computereinheit (U) wird der signierte Hash- 
10 Wert iiber den dritten Term verifiziert. 



41. Anordnung nach Anspruch 40, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dali folgende Verfah 
15 rensschritte durchfiihrbar sind: 

der dritte Term weist den offentlichen Benutzersignatur- 
schlussel (KU)oder eine GroBe, die den Benutzersignatur- 
schliissel (KU) eindeutig bestimmt, auf. 



2 0 42. Anordnung nach Anspruch 40 oder 41, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daiJ folgende Verfah 
rensschritte durchfiihrbar sind: 

die funfte Nachricht (MS) sowie die zweite Nachricht (M2) 
^5 weist mindestens eine Kette von Zertifikaten auf. 

43. Anordnung nach einem der Ansprtiche 38 bis 42, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi folgende Verfah 
30 rensschritte durchfiihrbar sind: 

der fUnfte Term weist einen Zeitstempel (TS) auf. 

44, Anordnung nach einem der Anspriiche 38 bis 43, 

bei der die erste Computereinheit (U.) und die zweite Compu- 
35 tereinheit (N) derart eingerichtet sind, daJi folgende Verfah 
rensschritte durchfiihrbar sind: 

der dritte Term weist einen Zeitstempel (TS) auf. 
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45T~Anordnung nacfir~einem deF"AQsprucRe~3'8~lDrs~~4"47' " 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daB folgende Verfah- 
5 rensschritte durchfiihrbar sind: 

- in der ersten Computereinheit (U) wird vor Bildung der er- 
sten Nachricht (Ml) ein Zwischenschltissel (L) gebildet 
wird, indem ein offentlicher Schlusselvereinbarungsschlus- 
sel (g^) mit der ersten Zufallszahl (t) potenziert, 

10 - in der ersten Computereinheit (U) wird vor Bildung der er- 
sten Nachricht (Ml) aus der IdentitatsgroJie (IMUI) der er- 
sten Computereinheit (U) ein zweiter verschliisselter Term ^ 
(VT2) gebildet wird, indem die IdentitatsgroBe (IMUI) mit fl 
dem Zwischenschltissel (L) unter Anwendung einer Verschlus- 

15 selungsfunktion (Enc) verschliisselt, 

- die erste Nachricht (Ml) weist anstatt der IdentitatsgroBe 
(IMUI) der ersten Computereinheit (U) den zweiten verschlus- 
selten Term (VT2) auf, 

- bei dem die vierte Nachricht (M4 ) anstatt der Identitats- 
20 groBe (IMUI) der ersten Computereinheit (U) den zweiten ver- 

schlusselten Term (VT2) aufweist. 



46. Anordnung nach einem der Anspriiche 38 bis 45, 
25 bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daB folgende Verfah 
rensschritte durchfuhrbar sind: 

- in der funften Nachricht (M5) ist das Netzzertif ikat 

(CertN) Oder eine Zertif ikatskette, deren letztes Glied das 
30 Netzzertif ikat (CertN) ist, oder das Benutzerzertif ikat 

(CertU) Oder eine Zertif ikatskette, deren letztes Glied das 
Benutzerzertif ikat (CertU) ist, mit L verschlusselt . 




35 47. Anordnung nach einem der Anspruche 38 bis 46, 
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bei der die erste Computereinheit (U) und die zweite Compu- 
— terernhei-t— (-N-) — derart— eingerichtet— sl-nd— dali-f oi Verf ah- 

rensschritte durchfiihrbar sind: 

in der Zertif izierungscomputereinheit (CA) wird mindestens 
5 eine der GroBen, die Identitatsangabe (id^) der zweiten Com- 
putereinheit (N) , die IdentitatsgroBe (IMUI)der ersten Compu- 
tereinheit (U) , der offentliche Netzschlussel (g^) / das Netz- 
zertifikat (CertN) oder das Benutzerzertif ikat (CertU) anhand 
einer Revokationsliste uberpriift, 

0 

48. Anordnung nach einem der Anspriiche 32 bis 47, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi folgende Verfah- 
rensschritte durchfiihrbar sind: 
5 - die erste Nachricht (Ml) weist mindestens eine alte tempo- 
rare Identitatsgrofie (TMUIO) der ersten Computereinheit (U) 
auf , 

- in der zweiten Computereinheit (N) wird, nachdem die erste 
Nachricht (Ml) empfangen wurde und bevor die zweite Nach- 

0 richt (M2) gebildet wird, fiir die erste Computereinheit (U) 
eine neue temporare Identitatsgrofle (TMUIN) gebildet, 

- aus der neuen temporaren Identitatsgrolie (TMUIN) der ersten 
Computereinheit (U) wird ein funfte verschltisselter Term 
(VT5) gebildet, indem die neue temporare IdentitatsgroBe 

5 (TMUIN) der ersten Computereinheit (U) mit dem Sitzung- 

schlussel (K) unter Anwendung der Verschlusselungsf unktion 
(Enc) verschlusselt wird, 

- die zweite Nachricht (M2) weist mindestens den funften ver- 
schliisselten Term (VT5) auf, 

0 - in der ersten Computereinheit (U) wird, nachdem die zweite 
Nachricht (M2) empfangen wurde und bevor die vierte Ein- 
gangsgroBe gebildet wird, der funfte verschlusselte Term 
(VT5) entschlusselt, 

- die dritte Eingangsgroiie fiir die erste Hash-Funktion (hi) 
5 Oder fur die zweite Hash-Funktion (h2) zur Bildung der 

vierten Eingangsgroiie weist mindestens die neue temporare 
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Identitatsgroiie (TMUIN) der ersten Computereinheit (U) auf, 
"uml — 

- die dritte Nachricht (M3) weist nicht die Identitatsgroiie 
(IMUI) der ersten Computereinheit (U) auf, 

5 

49. Anordnung nach einem der Anspruche 32 bis 48, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dali folgende Verfah- 
rensschritte durchfiihrbar sind: 
10 - in der zweiten Computereinheit (N) wird eine Information zu 
dem Sitzungsschlussel (K) enthaltende Antwort (A) gebildet, 

- eine zweite Nachricht {M2) wird von der zweiten Compu- 
tereinheit (N) an die erste Computereinheit (U) iibertragen 
wobei die zweite Nachricht (M2) mindestens die Antwort (A) 

15 aufweist, und 

- in der ersten Computereinheit (U) wird der Sitzungsschlus- 
sel (K) anhand der Antwort (A) uberpruft. 

50- Anordnung nach einem der Anspruche 32 bis 49, 
20 bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafl folgende Verfah- 
rensschritte durchfiihrbar sind: 

die dritte Nachricht (M3) weist eine IdentitatsgroBe (IMUI) 
der ersten Computereinheit (U) auf. 

25 

51. Anordnung nach einem der Anspruche 32 bis 48, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dai3 folgende Verfah- 
rensschritte durchfiihrbar sind: 
30 - in der zweiten Computereinheit (N) weist die erste Ein- 

gangsgrolie der ersten Hash-Funktion (hi) mindestens eine 

zweite Zufallszahl (r) auf, 

- die zweite Nachricht (M2) weist die zweite Zufallszahl (r) 
auf, und 

35 - in der ersten Computereinheit (U) weist die zweite Ein- 
gangsgroJie der ersten Hash-Funktion (hi) mindestens die 
zweite Zufallszahl (r) auf. 
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■~5"2"r"Anordnung naciT"~einem der"AnspruclTe~3"2™M"^47~ 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daJi die GroJie bzw. 
5 die GroBen nach Anspruch 34 die zweite Zufallszahl (r) ent- 
halt bzw. enthalten. 

53. Anordnung nach einem der Anspriiche 32 bis 51, 

bei der die erste Computereinheit (U) und die zweite Compu- 
0 tereinheit (N) derart eingerichtet sind, daB folgende Verfah- 
rensschritte durchfuhrbar sind: 

- in der ersten Computereinheit (U) wird vor Bildung der 
dritten Nachricht (M3) aus der IdentitatsgroBe (IMUI) der 
ersten Computereinheit (U) ein zweiter verschlusselter Term 

5 (VT2) gebildet, indem mindestens die IdentitatsgroBe (IMUI) 

mit dem Sitzungsschliissel (K) unter Anwendung der Ver- 
schliisselungsf unktion (Enc) verschlusselt wird, 

- die dritte Nachricht (M3) weist den zweiten verschlusselten 
Term (VT2) auf, und 

0 - in der zweiten Computereinheit (N) wird, nachdem die dritte 
Nachricht {M3) empfangen wurde, der zweite verschliisselte 
Term (VT2) entschlusselt . 

54, Anordnung nach einem der Anspriiche 32 bis 53, 

5 bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daB folgende Verfah- 
rensschritte durchfuhrbar sind: 

- die zweite Nachricht {M2) weist ein optionales erstes Da- 
tenfeld (datl) auf, und 

0 - die dritte EingangsgroBe fur die erste Hash-Funktion (hi) 
Oder fiir die zweite Hash-Funktion (h2) zur Bildung der 
vierten EingangsgroBe weist mindestens das optionale erste 
Datenfeld (datl) auf. 

5 55. Anordnung nach einem der Anspriiche 32 bis 54, 
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bei der die erste Computereinheit (U) und die zweite Compu- 
ter eTnfieTt (1^) derarfr~eingeric]Tlfet~~si"na"; daB~~f o Igende" VerT ali^ 
rensschritte durchfiihrbar sind: 

- in der ersten Computereinheit (U) wird vor Bildung der 
5 dritten Nachricht (M3) ein dritter verschliisselter Term 

(VT3) gebildet, indem mindestens ein optionales zweites Da- 
tenfeld (dat2) mit dem Sitzungsschlussel (K) unter Anwen- 
dung der Verschliisselungsf unktion (Enc) verschlusselt wird, 

- die dritte Nachricht (M3) weist mindestens den dritten ver- 
10 schlusselten Term {VT3) auf, und 

- in der zweiten Computereinheit (N) wird, nachdem die dritte 
Nachricht (M3) empfangen wurde, der dritte verschliisselte 
Term (VT3) entschlusselt . I 

15 56. Anordnung nach einem der Anspruche 32 bis 55, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daii folgende Verfah- 
rensschritte durchfiihrbar sind: 

- in der ersten Computereinheit (U) wird vor Bildung der 
20 dritten Nachricht (M3) ein erster verschliisselter Term 

(VTl) gebildet, indem mindestens der Signaturterm unter An- 
wendung der Verschlusselungsf unktion (Enc) verschliisselt 
wird, 

- die dritte Nachricht (M3) weist den ersten verschliisselten 
25 Term (VTl) auf, und i 

- in der zweiten Computereinheit (N) wird, nachdem die drittlj 
Nachricht (M3) empfangen wurde und bevor der Signaturterm 
verifiziert wird, der erste verschlusselte Term (VTl) ent- 
schlusselt . 

30 

57. Anordnung nach einem der Anspruche 32 bis 56, 
bei der die erste Computereinheit (U) und die zweite Corapu- 
tereinheit (N) derart eingerichtet sind, dafi folgende Verfah- 
rensschritte durchfiihrbar sind: 
35 in der zweiten Computereinheit (N) wird eine Antwort (A) ge- 
bildet, indem eine Konstante (const) , sowie eventuell weitere 
Grofien, die in der zweiten Computereinheit (N) und in der er- 



98 P 1764 



61 

sten Computereinheit (U) bekannt sind, mit dem Sitzungs- 
s c h'rU's's e~r~( K )"~u n ter ~An w e ros s^lTmgs f un k t i o n 

(Enc) verschlusselt wird. 

5 58. Anordnung nach einem der Anspruche 44 bis 57, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind/ dafi folgende Verfah 
rensschritte durchfiihrbar sind: 

in der ersten Computereinheit (U) wird die Antwort (A) uber- 
0 priift, indem eine Konstante (const) sowie eventuell weitere 
Grofien, mit dem Sitzungsschliissel (K) unter Anwendung der 
Verschliisselungsf unktion (Enc) verschlusselt wird und das Er 
gebnis mit der Antwort (A) verglichen wird, 

5 59. Anordnung nach einem der Anspruche 44 bis 57, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daB folgende Verfah 
rensschritte durchfiihrbar sind: 

in der ersten Computereinheit (U) wird die Antwort (A) tiber- 
0 prlift, indem die Antwort (A) mit dem Sitzungsschliissel (K) 
unter Anwendung der Verschlusselungsf unktion (Enc) entschlus 
selt wird und eine entschliisselte Konstante (const') sowie 
eventuell weitere GroBen, mit einer Konstante (const) ver- 
glichen wird. 

5 

60. Anordnung nach einem der Anspriiche 32 bis 59, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi folgende Verfah 
rensschritte durchfiihrbar sind: 
0 - in der zweiten Computereinheit (N) wird eine Antwort (A) 
gebildet, indem eine dritte Hash-Funktion (h3) angewendet 
wird auf eine EingangsgroBe, die mindestens den Sitzungs- 
schliissel (K) aufweist, und 
- in der ersten Computereinheit (U) wird die Antwort (A) 
5 iiberpriift, indem die dritte Hash-Funktion (h3) angewendet 
wird auf eine EingangsgroBe, die mindestens den Sitzungs- 



98 P 1764 



62 

schlussel (K) aufweist, und das Ergebnis itiit der Antwort 
(A") vergriizli^ir~wj7fcl~ 

61. Anordnung nach einem der Anspruche 32 bis 60, 

5 bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dali folgende Verfah 
rensschritte durchfiihrbar sind: 

die dritte Nachricht {M3) weist mindestens ein optionales 
zweites Datenfeld (dat2) auf, 

10 

62. Anordnung nach einem der Anspruche 32 bis 61, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daii folgende Verfah 
rensschritte durchfiihrbar sind: 
15 die erste Computereinheit (U) durch ein mobiles Kommunikati- 
onsendgerat und/oder die zweite Computereinheit (N) 
wird/werden durch eine Authentif izierungseinheit in einem Mo 
bil-Kommunikationsnetz gebildet. 
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Zusainmenf assung 



Verfahren und Anordnung zum rechnergestiitzten Austausch kryp- 
tographischer Schliissel zwischen einer ersten Computereinheit 
und einer zweiten Computereinheit 

Die Erfindung betrifft ein Verfahren, lait dem ein Sitzungs- 
schliissel (K) zwischen einer ersten Computereinheit (U) und 
einer zweiten Computereinheit (N) vereinbart werden kann, oh- 
ne daJi ein unbefugter Dritter ntitzliche Information bezuglich 
der Schliissel oder der Identitat der erste Computereinheit 
(U) erhalten kann. Dies wird erreicht durch die Einbettung 
des Prinzips des El-Gamal Schltisselaustauschs in das Verfah- 
ren mit einer zusatzlichen Bildung einer digitalen Unter- 
schrift iiber einen Hash-Wert, dessen Eingangsgrolie mindestens 
Grossen, aus denen auf den Sit zungsschlussel eindeutig rtick- 
geschlossen werden kann, aufweist. 
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